CVE-2024-34452

CVE-2024-34452 - Vulnerabilidade de Cross-Site Scripting (XSS) no CMSimple_XH

Visão Geral

Foi identificada uma vulnerabilidade de cross-site scripting (XSS) no CMSimple_XH versão 1.7.6. Esta vulnerabilidade permite que usuários autorizados enviem arquivos SVG contendo código JavaScript malicioso. O problema decorre da validação e sanitização inadequadas dos arquivos SVG enviados por meio da funcionalidade de upload de arquivos do aplicativo.

Detalhes da Vulnerabilidade

• Identificador CVE: CVE-2024-34452
• Severidade: Média
• Versão Afetada: CMSimple_XH 1.7.6

Descrição

A vulnerabilidade existe devido à falha do aplicativo em validar e sanitizar adequadamente os arquivos SVG enviados pelos usuários. Um atacante pode explorar essa falha enviando um arquivo SVG especialmente criado contendo código JavaScript malicioso. Quando o arquivo SVG enviado é acessado por outros usuários, o código JavaScript injetado é executado nos navegadores deles no contexto do aplicativo CMSimple_XH. Isso pode levar a vários ataques de XSS.

Impacto

A exploração bem-sucedida desta vulnerabilidade pode permitir que um atacante:

• Roube cookies de sessão
• Comprometa contas de usuário
• Execute ações não autorizadas em nome de usuários legítimos

Prova de Conceito

Um exemplo de código SVG malicioso que aciona um alerta exibindo os cookies do documento:

<?xml version="1.0" standalone="no"?>
<!DOCTYPE svg PUBLIC "-//W3C//DTD SVG 1.1//EN" "http://www.w3.org/Graphics/SVG/1.1/DTD/svg11.dtd">
<svg version="1.1" baseProfile="full" xmlns="http://www.w3.org/2000/svg">
  <polygon id="triangle" points="0,0 0,50 50,0" fill="#009900" stroke="#004400"/>
  <script type="text/javascript">
    alert(document.cookie);
  </script>
</svg>