PT-2021-18230 · Kirby · Kirby
Sreenathr10
·
Publicado
2021-04-27
·
Atualizado
2021-05-07
·
CVE-2021-29460
CVSS v3.1
7.6
Alta
| Vetor | AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N |
**Nome do software vulnerável e versões afetadas:
Versões do Kirby anteriores à 3.5.4
Descrição:
A vulnerabilidade permite que um editor com acesso de gravação ao Painel do Kirby faça upload de um arquivo SVG ou XML contendo conteúdo malicioso, como tags
<script>. Se uma vítima abrir o link para o arquivo em um navegador no qual esteja conectada ao Kirby, o script pode ser executado e acionar solicitações à API do Kirby com as permissões da vítima. Isso pode levar à escalada de privilégios se um invasor obtiver acesso à sessão do Painel de um usuário administrador. Visitantes sem acesso ao Painel podem explorar essa vulnerabilidade se o site permitir uploads de arquivos SVG ou XML em formulários front-end sem validação ou sanitização.Recomendações:
Para resolver o problema, atualize para o Kirby 3.5.4 ou uma versão posterior.
Para formulários de upload do front-end, certifique-se de que eles sejam corrigidos separadamente, dependendo de como armazenam os arquivos enviados.
Se estiver usando
File::create(), a atualização para o Kirby 3.5.4+ oferece proteção.Como solução temporária, considere desativar o upload de arquivos SVG e XML nos blueprints de arquivo até que uma correção seja aplicada.
Após a atualização, execute o script validador fornecido para verificar se há arquivos maliciosos existentes e analise os erros listados para correção manual.
Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Kirby