CVE-2024-52794 – Discourse における格納型クロスサイトスクリプティング (XSS)

概要

オープンソースのフォーラムプラットフォームである Discourse において、格納型クロスサイトスクリプティング (XSS) の脆弱性を発見しました。この脆弱性により、攻撃者はアップロードされた画像のファイル名に悪意のあるペイロードを埋め込むことで、被害者のブラウザ上で任意の JavaScript を実行できます。これは公開トピック、コメント、プライベートメッセージなど、複数のユーザー操作ベクトルに影響します。

CVE 識別子

CVE: CVE-2024-52794
アドバイザリ ID: GHSA-m3v4-v2rp-hfm9
発見者: Mohand00
報告先: Hackerone
報告日: 2024年11月18日

技術詳細

画像をアップロードする際、ファイル名がフロントエンドで適切にサニタイズされずにレンダリングされます。ファイル名に JavaScript ペイロードが含まれている場合（例:）

<script>alert(document.domain)</script>

...ユーザーが画像をクリックするとそれが実行されます。これは以下に該当します:

トピック
コメント
ダイレクトメッセージ

脆弱なロジックは、img の alt 属性またはその周辺のマークアップからスクリプトタグをエンコードまたは除去できていませんでした。

影響

被害者のコンテキストでの任意の JavaScript 実行
完全なセッションハイジャック (document.cookie 経由)
アカウントの乗っ取り
複数のユーザー入力にわたって動作（持続型 XSS）

影響を受けるバージョン

Channel	Versions Affected
Stable	≤ 3.3.2
Beta	≤ 3.4.0.beta3
Tests-passed	≤ 3.4.0.beta3

パッチが適用されたバージョン

Channel	Patched in Version
Stable	≥ 3.3.3
Beta	≥ 3.4.0.beta4
Tests-passed	≥ 3.4.0.beta4

この問題は、ユーザーから提供されたファイル名を適切にサニタイズし、画像レンダリングコンポーネント内のすべての動的コンテンツをエスケープすることで対処されました。

開示のタイムライン

Date	Event
Nov 18, 2024	脆弱性を hackerone 経由で報告
Dec 19, 2024	CVE 発行: CVE-2024-52794
Dec 19, 2024	Discourse が公開アドバイザリを発表

CVE-2024-52794-Discourse-Stored-XSS

人気