CVE-2025-65675

Classroomio LMS 0.1.13における格納型クロスサイトスクリプティング（XSS）の脆弱性。認証された攻撃者が細工されたSVGプロフィール画像を介して任意のコードを実行できる可能性があります。発見者 - Rivek Raj Tamang（RivuDon）、インド、シッキム州。

影響を受ける製品: ClassroomIO

影響を受けるバージョン: 0.1.13
発見者: Rivek Raj Tamang（RivuDon）、インド、シッキム州

脆弱性の詳細

格納型クロスサイトスクリプティング

概要

Classroomio LMS バージョン 0.1.13 には、アプリケーションがSVGプロフィール画像のアップロードをサニタイズしないため、格納型クロスサイトスクリプティング（XSS）の脆弱性が存在します。認証された攻撃者は、JavaScriptが埋め込まれた悪意のあるSVGファイルをアップロードでき、そのファイルは保存され、プロフィール画像が表示されるたびに実行されます。ペイロードが信頼されたドメインから実行されるため、この欠陥によりセッションハイジャック、アカウント乗っ取り、リダイレクト攻撃、またはプラットフォーム内でのさらなる悪用が発生する可能性があります。