CVE-2026-14856: Хранимый XSS с захватом учётной записи в TastyIgniter v4.3.0

📌 Краткое описание

В функциональности загрузки файлов Media Manager в TastyIgniter v4.3.0 была обнаружена уязвимость хранимого межсайтового скриптинга (XSS). Из-за недостаточной проверки и очистки загружаемых .svg-файлов аутентифицированный пользователь с низкими привилегиями может загрузить вредоносный файл, содержащий встроенный JavaScript-код.

Когда администратор просматривает или предпросматривает загруженный файл, полезная нагрузка выполняется в контексте его сессии. Комбинируя этот вектор с межсайтовой подделкой запросов (CSRF), злоумышленник может извлечь анти-CSRF токен администратора и инициировать несанкционированные административные действия (например, изменить учётные данные аккаунта), что приводит к полному захвату учётной записи.

---

📊 Технический обзор

---

⚙️ Цепочка эксплуатации

1. Фаза загрузки: Аутентифицированный пользователь с низкими привилегиями загружает SVG-файл, содержащий вредоносную JavaScript-нагрузку, в Media Manager.
2. Фаза выполнения: Администратор просматривает файл, и встроенный JavaScript выполняется в контексте его браузерной сессии.
3. Извлечение токена: Скрипт программно извлекает активный CSRF-токен администратора.
4. Захват учётной записи: Скрипт отправляет аутентифицированный запрос с использованием украденного токена для обновления учётных данных администратора (email/пароль).

---

📁 Доказательство концепции (PoC)

Полный технический отчёт, пошаговый разбор и анализ доступны в формате PDF в этом репозитории:

📄 TastyIgniter-4.3.0-POC.pdf

---

🛡️ Устранение и скоординированное раскрытие

• Статус исправления: Исправлено производителем в последнем релизе. Рекомендуется обновиться до новейшей версии.
• Координация: Ответственно раскрыто через программу скоординированного раскрытия уязвимостей (CVD) INCIBE-CERT.
• Официальное уведомление: Уведомление INCIBE-CERT

---

👤 Автор

Jonas Fernández