CVE-2024-48591

漏洞披露：Inflectra SpiraTeam 7.2.00 中的 XSS

描述

Inflectra SpiraTeam 7.2.00 版本存在跨站脚本（XSS）漏洞，通过上传特制的 SVG 文件，在直接查看该文件时可执行 JavaScript。

漏洞类型

跨站脚本（XSS）

厂商

Inflectra

受影响产品

SpiraTeam 7.2.00

受影响组件

TestRuns 部分

攻击类型

远程

影响

• 权限提升：允许攻击者可能获得更高级别的访问权限。

攻击向量

攻击者可以上传包含 JavaScript 的特制 SVG 文件。当该文件被直接查看时，JavaScript 会在查看者的浏览器中执行。

参考资料

• OWASP：跨站脚本（XSS）
• CWE-79：网页生成过程中输入的不当中和（'跨站脚本'）

厂商确认

Inflectra 已确认此漏洞的存在。

发现者

Gareth Catterall https://www.anchorsec.co.uk

注意

SpiraTeam 7.2.00 的用户应更新到最新版本。