CVE-2023-37269

总结

Winter 是一个基于 Laravel PHP 框架的免费开源内容管理系统（CMS）。拥有 `backend.manage_branding` 权限的用户可以将 SVG 上传为应用程序徽标。在 1.2.3 版本之前，SVG 上传未经过净化处理，这可能允许存储型跨站脚本（XSS）攻击。要利用此漏洞，攻击者需要已拥有 Winter CMS 中的开发者或超级用户级别权限，这意味着他们已经在系统内拥有广泛的访问权限和控制权。此外，要执行 XSS，攻击者需要诱使受害者直接访问恶意上传的 SVG 的 URL，且应用程序必须使用本地存储，即上传的文件与应用程序本身在同一域名下提供服务，而非使用 CDN。这是因为 Winter CMS 中的所有 SVG 都通过 `img` 标签渲染，这会阻止任何载荷被直接执行。这两个因素显著限制了此漏洞的潜在危害。该问题已在 v1.2.3 中通过加入对 SVG 上传的全面支持以及自动净化所上传的 SVG 文件而得到修复。作为变通方案，可以手动应用补丁。

• WinterCMS < 1.2.3 - Persistent Cross-Site Scripting漏洞利用

  abhishek morla · php · 2023年7月15日