[CVE-2025-61183] XSS Armazenado no Upload de Avatar de Usuário via Manipulação Insegura de SVG

Visão Geral

Uma vulnerabilidade de Cross-Site Scripting (XSS) Armazenado foi identificada no vaahcms, especificamente na interação entre a lógica de upload de arquivos em MediaController.php e o método storeAvatar() em UserBase.php, permitindo que um usuário registrado de baixo nível faça upload de um arquivo SVG malicioso contendo JavaScript embutido. A vulnerabilidade decorre do armazenamento do arquivo ocorrer antes da validação de conteúdo ou tipo MIME, deixando arquivos maliciosos em um caminho previsível e publicamente acessível no servidor. A vulnerabilidade surge do método upload() em MediaController.php

$path = $request->file($input_file_name) ->storeAs($request->folder_path, $upload_file_name); permitindo que um atacante especifique o caminho do diretório, possibilitando colocar arquivos maliciosos (como um SVG com XSS) diretamente no diretório public/, tornando o payload imediatamente acessível via navegador.

Impacto

A exploração bem-sucedida permite que um atacante controle o conteúdo e o nome de um arquivo escrito em um caminho de armazenamento público (/storage/media/YYYY/MM/<nome-controlado>.svg). Se este SVG publicamente acessível for subsequentemente renderizado pelo navegador de um usuário via uma ``, <object>, ou link manipulado, o script embutido será executado, levando a XSS persistente.

Produto e Versões Afetados

• Produto: VaahCMS
• Versões Vulneráveis: 2.3.1

Endpoint Vulnerável

POST /backend/vaah/manage/media/upload

Falhas Críticas

1. Problema de Condição de Corrida/Timing: O arquivo é fisicamente salvo no disco antes de qualquer validação de conteúdo ou verificação de tipo MIME.
2. Caminho Previsível: Arquivos maliciosos são salvos em um caminho público previsível: /storage/media/YYYY/MM/<nome-controlado>.svg.
3. Sem Limpeza: Arquivos persistem mesmo se o backend retornar um erro (ex.: {"success": false, "errors": ["Unable to decode input"]}).

Fluxo de Exploração (Prova de Conceito)

1. Um atacante cria um arquivo SVG especialmente criado (veja POC.svg).
2. O atacante envia uma requisição ao endpoint vulnerável, controlando o nome do arquivo (ex.: xss.svg).
3. Apesar de uma resposta de backend com falha, o arquivo é salvo em disco, por exemplo, em /storage/media/2025/08/xss.svg.
4. O atacante entrega um link ou incorpora o caminho (ex.: em uma postagem de fórum ou e-mail) para uma vítima, acionando o payload.

Mitigação/Resposta do Fornecedor

• Fornecedor: VaahCMS
• Status: Reconhecido, correção pendente
• Mitigação Temporária:
  • Desabilitar completamente uploads de arquivos SVG na aplicação
  • Implementar validação de tipo de arquivo no servidor usando verificação de tipo MIME antes de armazenar arquivos
  • Usar uma biblioteca de sanitização SVG dedicada (ex.: enshrined/svg-sanitize para PHP)
  • Armazenar arquivos enviados fora da raiz web e servi-los através de um proxy seguro
  • Implementar limpeza automática de arquivos que falham na validação

🔗 Referências

• https://github.com/webreinvent/vaahcms/issues/301

---

Pesquisador: Thaw Phone Nyo

Data da Divulgação: 2025/10/8