Ferozo Webmail ファイルアップロードによるXSS脆弱性 (CVE-2024-33231)

説明

Ferozo Webmail バージョン 1.1 は、ファイルアップロード機能を介してクロスサイトスクリプティング (XSS) の脆弱性があります。攻撃者は、悪意のあるJavaScriptコードを含む特別に細工されたファイルをアップロードすることで、この脆弱性を悪用する可能性があります。ファイルがアプリケーション内で処理または表示されると、埋め込まれたスクリプトが被害者のセッション内で実行され、以下のような結果を引き起こす可能性があります:

• セッションハイジャック
• 不正な操作
• 機密情報の窃取

この脆弱性は、アップロードプロセス中にファイルのメタデータやコンテンツに対するサニタイズと検証が不十分であることに起因し、悪意のあるユーザーが不正なスクリプトを注入してウェブメールプラットフォームのセキュリティを侵害することを可能にします。

攻撃の複雑さ

• 低

必要な権限

• 低 (ファイルをアップロードするには認証されたユーザーが必要です。)

ユーザーの操作

• 必要 (ユーザーまたは管理者がアップロードされたファイルを操作または開く必要があります。)

影響を受けるコンポーネント

• ファイルアップロード機能: 脆弱性はファイルアップロード機能にあり、不適切なサニタイズと検証により、アップロードされたファイルを操作するすべてのユーザーのブラウザで悪意のあるJavaScriptコードが実行されます。

影響