CVE-2025-56514：Fiora 聊天应用中的跨站脚本（XSS）漏洞

概述

标识为 CVE-2025-56514 的跨站脚本（XSS）漏洞影响 Fiora 聊天应用 1.0.0 版本。该漏洞允许已认证用户通过群组头像更换功能上传恶意 SVG 文件，从而在另一个用户的浏览器上下文中执行任意 JavaScript。

漏洞详情

• 漏洞类型：跨站脚本（XSS）
• 攻击类型：远程
• 影响：代码执行
• 受影响产品代码库：Fiora 1.0.0
• 厂商：suisuijiang
• 发现者：Kaio Mendonca Pereira

受影响组件

Fiora 聊天应用中的以下组件受到影响：

• 后端：packages/server/src/routes/group.ts（群组管理路由）
• 前端：
  • packages/web/src/modules/Chat/GroupManagePanel.tsx（群组头像上传界面）
  • packages/web/src/service.ts（API 服务层）
  • packages/web/src/components/Avatar.ts（头像渲染组件）

攻击向量

在群组中拥有创建者权限的已认证用户可以通过以下方式利用此漏洞：

1. 通过“更换群组头像”功能上传包含嵌入 JavaScript 的恶意 SVG 文件。
2. 恶意 SVG 文件存储在 /GroupAvatar/ 目录中。
3. 当 SVG 头像由 Avatar.tsx 组件在另一个用户的浏览器中渲染时，嵌入的 JavaScript 会执行，从而实现 XSS 利用。

复现步骤

1. 身份验证：使用有效凭据登录 Fiora 聊天应用。
2. 访问目标群组：导航到群组管理，选择一个你拥有创建者权限的群组。
3. 上传恶意 SVG：使用“更换群组头像”功能上传一个包含嵌入 JavaScript 的恶意 SVG 文件，例如：
   root@kitploit:~

   <svg xmlns="http://www.w3.org/2000/svg" xmlns:xlink="http://www.w3.org/1999/xlink" viewBox="0 0 100 100">
       <foreignObject x="0" y="0" width="100" height="100">
           
       </foreignObject>
       <text x="0" y="15"></text>
   </svg>