CVE-2025-60880: Bagisto 管理パネルにおける格納型クロスサイトスクリプティング（XSS）

Bagisto 2.3.6 の管理パネルの製品作成パスに、認証済みの格納型 XSS 脆弱性が存在します。攻撃者は、悪意のある JavaScript コードを含む細工された SVG ファイルをアップロードできます。この脆弱性は、認証済みの管理者ユーザーによって悪用され、ブラウザ上で任意の JavaScript を実行させ、セッションハイジャック、データ窃取、または不正な操作につながる可能性があります。

脆弱性の概要

• CVE ID: CVE-2025-60880
• タイプ: クロスサイトスクリプティング（XSS）
• CVSS スコア: 6.9（中）
• CVSS ベクター: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:L/A:N
• 影響を受けるベンダー: Bagisto
• 影響を受ける製品: Bagisto
• 影響を受けるバージョン: v2.3.6
• 影響を受けるコンポーネント: Bagisto 管理パネル（製品作成パス）
• 攻撃ベクトル: リモート
• 認証: 管理者権限が必要
• 影響: コード実行、セッションハイジャック、データ窃取

概念実証（PoC）

この脆弱性は、認証済みの管理者が悪意のある JavaScript を含む細工された SVG ファイルをアップロードすると悪用されます。

再現手順:

1. 認証済みの管理者として Bagisto 管理パネルにログインします。
2. 製品作成パスに移動します。
3. JavaScript ペイロードを含む細工された SVG ファイルをアップロードします。
4. Content-Type ヘッダーを変更した後、リクエストが再送信されます。
5. 悪意のある SVG ファイルがサーバーに保存されます。
6. ファイルの URL にアクセスすると、ユーザーのブラウザで JavaScript が実行されます。

悪意のある SVG ペイロードの例:

<?xml version="1.0" standalone="no"?>
<!DOCTYPE svg PUBLIC "-//W3C//DTD SVG 1.1//EN" "http://www.w3.org/Graphics/SVG/1.1/DTD/svg11.dtd">

<svg version="1.1" baseProfile="full" xmlns="http://www.w3.org/2000/svg">
   <polygon id="triangle" points="0,0 0,50 50,0" fill="#009900" stroke="#004400"/>
   <script type="text/javascript">
      alert(document.domain);
   </script>
</svg>

推奨事項

• この脆弱性を緩和するために、以下の対策が推奨されます:
• 入力検証、Content-Type の強制、および適切なファイル処理を実施します。
• ファイルのアップロードを信頼できる形式に制限し、SVG ファイルをサニタイズして有害なコンテンツを除去します。

開示のタイムライン

免責事項

このリポジトリで提供される情報および概念実証（PoC）コードは、教育および倫理的な研究目的のみを対象としています。著者は、本書で提供される情報またはコードの誤用または損害について一切の責任を負いません。ユーザーは、自身の行動に対してすべての責任を負います。適用されるすべての地域、州、および連邦法を遵守することは、ユーザーの責任です。