Это происходит потому, что SVG-файл сохраняется и отдаётся как есть, что позволяет встроенным тегам <script>, обработчикам событий (например, onload, onclick) или элементам <foreignObject> выполняться в контексте источника приложения.

🧪 Шаги для воспроизведения

1. Войдите в приложение, интегрированное с CKFinder v1.4.3.
2. Перейдите к функции загрузки файлов.
3. Загрузите следующий вредоносный SVG-файл:
4. После загрузки откройте или просмотрите файл в файловом менеджере CKFinder или в любом связанном представлении.
5. Наблюдайте выполнение JavaScript в браузере.

🎯 Влияние / Риски

• Выполнение произвольного JavaScript в браузере жертвы.
• Похищение токенов сессии или конфиденциальной информации.
• Манипуляция DOM или перенаправление на вредоносные веб-сайты.
• Возможное горизонтальное перемещение в интерфейсах администратора или управления.

🛡️ Устранение

• Санитизируйте и проверяйте загружаемые SVG-файлы перед сохранением или отображением.
• Отключите загрузку SVG-файлов, если она не требуется.
• Если загрузка SVG-файлов необходима:
  • Используйте безопасный санитайзер SVG (например, DOMPurify, SVG-Sanitizer) перед отображением.
  • Отдавайте загруженные SVG с безопасными заголовками ответа:
    root@kitploit:~

    Content-Type: image/svg+xml; charset=UTF-8
    Content-Disposition: attachment
    X-Content-Type-Options: nosniff
    

  • Размещайте загружаемые пользователями файлы на отдельном домене или CDN для обеспечения изоляции источника.
• Обновитесь до последней версии CKFinder, поскольку новые версии могут включать улучшенную санитизацию файлов и обработку безопасности.

Доказательство концепции

👤 Обнаруживший

Shubham Ghadge
Исследователь безопасности / Консультант по безопасности приложений