CVE-2021-29460

요약

Kirby는 오픈소스 CMS입니다. Kirby Panel에 대한 쓰기 권한이 있는 편집자는 `<script>` 태그와 같은 유해한 콘텐츠를 포함한 SVG 파일을 업로드할 수 있습니다. 해당 파일에 대한 직접 링크는 사이트의 다른 사용자나 방문자에게 보낼 수 있습니다. 피해자가 Kirby에 로그인한 상태에서 브라우저로 해당 링크를 열면 스크립트가 실행되어, 예를 들어 피해자의 권한으로 Kirby의 API에 요청을 트리거할 수 있습니다. 인증된 Panel 사용자 그룹에 잠재적 공격자가 있을 수 있는 경우 이 취약점은 치명적입니다. 관리자 사용자의 Panel 세션에 접근하게 되면 권한을 상승시킬 수 있기 때문입니다. 사이트에 따라 다른 JavaScript 기반 공격도 가능합니다. Panel 접근 권한이 없는 방문자는 사이트에서 프런트엔드 양식의 SVG 파일 업로드를 허용하고 업로드된 SVG 파일을 이미 정화(sanitize)하지 않는 경우에만 이 공격 벡터를 사용할 수 있습니다. 이 문제는 Kirby 3.5.4에서 패치되었습니다. 취약점을 해결하려면 이 버전 이상으로 업데이트하십시오. 프런트엔드 업로드 양식은 업로드된 파일을 저장하는 방식에 따라 별도로 패치해야 합니다. `File::create()`를 사용하는 경우 3.5.4+로 업데이트하면 보호됩니다. 해결 방법으로 파일 청사진(blueprint)에서 SVG 파일 업로드를 비활성화할 수 있습니다.

• Kirby CMS 3.5.3.1 - 'file' Cross-Site Scripting (XSS)익스플로잇

  Sreenath Raghunathan · php · 2021. 4. 28.