📂 CKFinder 1.4.3 – 通过恶意 SVG 上传实现存储型跨站脚本（XSS）

CVE ID: CVE-2025-63830

---

🧭 概述

在 CKFinder v1.4.3 中发现了一个存储型跨站脚本（XSS）漏洞。
该问题存在于 文件上传 功能中，其未能正确清理包含活动内容的 SVG 文件。
因此，当上传的文件被查看或预览时，攻击者可以在受害者浏览器的上下文中执行任意 JavaScript 代码。

---

⚙️ 详细信息

• 发现名称：通过恶意 SVG 上传实现存储型跨站脚本（XSS）
• 严重性：高
• CVE ID：CVE-2025-63830
• 受影响组件：文件上传功能
• 受影响产品：CKFinder v1.4.3
• 厂商：CKSource Holding sp. z o.o.
• 攻击类型：远程

---

🧾 描述

CKFinder v1.4.3 的 文件上传 功能存在 存储型跨站脚本（XSS） 漏洞。
上传包含 JavaScript 代码的特制 SVG 文件后，当该文件稍后在应用程序中被访问或预览时，会导致持久性脚本执行。

这是因为 SVG 文件按原样存储和提供，允许嵌入的 <script> 标签、事件处理程序（例如 onload、onclick）或 <foreignObject> 元素在应用程序的来源上下文中执行。

---

🧪 复现步骤

1. 登录集成了 CKFinder v1.4.3 的应用程序。
2. 导航到 文件上传 功能。
3. 上传以下恶意 SVG 文件：
4. 上传后，在 CKFinder 文件管理器或任何关联视图中访问或预览该文件。
5. 观察浏览器中的 JavaScript 执行情况。

🎯 影响 / 风险

• 在受害者浏览器中执行任意 JavaScript。
• 窃取会话令牌或敏感信息。
• DOM 操作或重定向到恶意网站。
• 可能在管理界面中进行横向移动。

---

🛡️ 修复方案

• 在存储或渲染之前 清理并验证 上传的 SVG 文件。
• 如果不需要，禁用 SVG 上传。
• 如果需要 SVG 上传：
  • 在渲染前使用安全的 SVG 清理器（例如 DOMPurify、SVG-Sanitizer）。
  • 使用安全响应头提供上传的 SVG：

    Content-Type: image/svg+xml; charset=UTF-8
    Content-Disposition: attachment
    X-Content-Type-Options: nosniff
    

  • 将用户上传的文件托管在 独立的域名或 CDN 上，以强制执行来源隔离。
• 升级到最新版本的 CKFinder，因为较新版本可能包含改进的文件清理和安全处理。

---

概念验证

👤 发现者

Shubham Ghadge
安全研究员 / 应用程序安全顾问