CVE-2025-56514: Уязвимость межсайтового скриптинга (XSS) в приложении Fiora Chat

Обзор

Уязвимость межсайтового скриптинга (XSS), идентифицированная как CVE-2025-56514, затрагивает приложение Fiora chat версии 1.0.0. Эта уязвимость позволяет аутентифицированному пользователю выполнять произвольный JavaScript в контексте браузера другого пользователя путём загрузки вредоносного SVG-файла через функциональность смены аватара группы.

Детали уязвимости

Тип уязвимости: Межсайтовый скриптинг (XSS)
Тип атаки: Удалённая
Воздействие: Выполнение кода
Затронутая кодовая база продукта: Fiora 1.0.0
Вендор: suisuijiang
Обнаружил: Kaio Mendonca Pereira

Затронутые компоненты

В приложении Fiora chat затронуты следующие компоненты:

Бэкенд: packages/server/src/routes/group.ts (маршруты управления группами)
Фронтенд:
- packages/web/src/modules/Chat/GroupManagePanel.tsx (интерфейс загрузки аватара группы)
- packages/web/src/service.ts (уровень API-сервисов)
- packages/web/src/components/Avatar.ts (компонент отрисовки аватара)

Векторы атаки

Аутентифицированный пользователь с правами создателя группы может использовать эту уязвимость следующим образом:

Загрузка вредоносного SVG-файла, содержащего встроенный JavaScript, через функциональность «Сменить аватар группы».
Вредоносный SVG сохраняется в каталоге /GroupAvatar/.
Когда SVG-аватар отображается компонентом Avatar.tsx в браузере другого пользователя, встроенный JavaScript выполняется, что позволяет осуществить XSS-атаку.

Шаги воспроизведения

Аутентификация: Войдите в приложение Fiora chat, используя действительные учётные данные.
Доступ к целевой группе: Перейдите в управление группами и выберите группу, в которой у вас есть права создателя.
Загрузка вредоносного SVG: Используйте функцию «Сменить аватар группы», чтобы загрузить вредоносный SVG-файл со встроенным JavaScript, например:
```
<svg xmlns="http://www.w3.org/2000/svg" xmlns:xlink="http://www.w3.org/1999/xlink" viewBox="0 0 100 100">
    <foreignObject x="0" y="0" width="100" height="100">
        
    </foreignObject>
    <text x="0" y="15"></text>
</svg>
```

CVE-2025-56514