CVE-2021-29460

Resumo

Kirby é um CMS de código aberto. Um editor com acesso de escrita ao Painel Kirby pode enviar um arquivo SVG que contenha conteúdo prejudicial, como tags `<script>`. O link direto para esse arquivo pode ser enviado a outros usuários ou visitantes do site. Se a vítima abrir esse link em um navegador onde esteja conectada ao Kirby, o script será executado e poderá, por exemplo, disparar requisições para a API do Kirby com as permissões da vítima. Essa vulnerabilidade é crítica se você puder ter possíveis atacantes no seu grupo de usuários autenticados do Painel, pois eles podem elevar seus privilégios se obtiverem acesso à sessão do Painel de um usuário administrador. Dependendo do seu site, outros ataques baseados em JavaScript são possíveis. Visitantes sem acesso ao Painel só podem usar esse vetor de ataque se o seu site permitir o upload de arquivos SVG em formulários de frontend e você ainda não sanitizar os arquivos SVG enviados. O problema foi corrigido no Kirby 3.5.4. Atualize para esta ou uma versão posterior para corrigir a vulnerabilidade. Formulários de upload no frontend precisam ser corrigidos separadamente, dependendo de como armazenam o(s) arquivo(s) enviado(s). Se você usar `File::create()`, estará protegido ao atualizar para 3.5.4+. Como alternativa, você pode desabilitar o upload de arquivos SVG em seus blueprints de arquivos.

• Kirby CMS 3.5.3.1 - 'file' Cross-Site Scripting (XSS)Exploit

  Sreenath Raghunathan · php · 28 de abr. de 2021