CVE-2024-34452 - CMSimple_XH 中的跨站脚本（XSS）漏洞

---

概述

在 CMSimple_XH 1.7.6 版本中发现了一个跨站脚本（XSS）漏洞。该漏洞允许授权用户上传包含恶意 JavaScript 代码的 SVG 文件。问题源于应用程序的文件上传功能对上传的 SVG 文件验证和清理不足。

漏洞详情

• CVE 标识符：CVE-2024-34452
• 严重性：中危
• 受影响版本：CMSimple_XH 1.7.6

描述

该漏洞的存在是因为应用程序未能正确验证和清理用户上传的 SVG 文件。攻击者可以通过上传包含恶意 JavaScript 代码的特制 SVG 文件来利用此缺陷。当其他用户访问上传的 SVG 文件时，注入的 JavaScript 代码会在其浏览器中于 CMSimple_XH 应用程序的上下文中执行。这可能导致各种 XSS 攻击。

影响

成功利用此漏洞可使攻击者能够：

• 窃取会话 Cookie
• 入侵用户账户
• 以合法用户身份执行未授权操作

概念验证

一个触发显示文档 Cookie 的 alert 弹窗的恶意 SVG 代码示例：

---

<?xml version="1.0" standalone="no"?>
<!DOCTYPE svg PUBLIC "-//W3C//DTD SVG 1.1//EN" "http://www.w3.org/Graphics/SVG/1.1/DTD/svg11.dtd">
<svg version="1.1" baseProfile="full" xmlns="http://www.w3.org/2000/svg">
  <polygon id="triangle" points="0,0 0,50 50,0" fill="#009900" stroke="#004400"/>
  <script type="text/javascript">
    alert(document.cookie);
  </script>
</svg>

---

复现步骤

1. 以授权用户身份登录 CMSimple_XH 应用程序。
2. 导航到文件上传功能。
3. 上传概念验证部分提供的恶意 SVG 文件（xss.svg）。
4. 在应用程序中访问上传的 SVG 文件。
5. 观察 JavaScript 代码的执行以及显示文档 Cookie 的警报弹窗。

截图

致谢： 此漏洞由 Suraj Theekshana 发现并报告。