CVE-2025-57203

概要

MagicProject AI バージョン9.1は、認証済み管理者ユーザーが利用できるチャットボット生成機能内のクロスサイトスクリプティング（XSS）脆弱性の影響を受けます。この脆弱性は、multipart/form-data POSTリクエストを介して `/dashboard/user/generator/generate-stream` エンドポイントに送信される `prompt` パラメータに存在します。入力サニタイズが不十分なため、攻撃者はHTMLベースのJavaScriptペイロードを注入できます。このペイロードは保存され、その後のビューでサニタイズされずにレンダリングされるため、影響を受けるコンテンツにアクセスした他のユーザーのブラウザで実行されることになります。この問題により、認証済み攻撃者が別のユーザーのコンテキストで任意のJavaScriptを実行でき、セッションハイジャック、権限昇格、データ窃取、または管理者アカウント乗っ取りにつながる可能性があります。このアプリケーションは、このような攻撃を防ぐためのコンテンツセキュリティポリシー（CSP）や適切な入力フィルタリングを実装していません。修正には、適切なサニタイズ、出力エンコーディング、および強力なCSPの適用を含め、悪用を軽減する必要があります。

• AvTech-PoCsPoC

  CVE-2025-57199、CVE-2025-57200、CVE-2025-57201、CVE-2025-57202、およびCVE-2025-57203のPoC