PT-2025-6113 · Unknown · Zoo-Project
Xbow-Security
·
Publicado
2025-02-10
·
Atualizado
2025-02-12
·
CVE-2025-25190
CVSS v4.0
6.9
Média
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N |
Nome do Software Vulnerável e Versões Afetadas:
Versões do ZOO-Project anteriores ao commit 7a5ae1a
Descrição:
O Servidor de Serviço de Processamento Web (WPS) do ZOO-Project contém uma vulnerabilidade de Cross-Site Scripting (XSS) em seu serviço EchoProcess. A vulnerabilidade existe porque o serviço EchoProcess reflete diretamente a entrada do usuário em sua saída sem a sanitização adequada ao lidar com entradas complexas. O serviço aceita vários formatos de entrada, incluindo XML, JSON e SVG, e retorna o conteúdo com base no tipo MIME solicitado. Ao processar conteúdo SVG e retorná-lo com o tipo MIME image/svg+xml, o servidor falha em sanitizar JavaScript potencialmente malicioso em atributos como
onload, permitindo a execução arbitrária de JavaScript no contexto do navegador da vítima.Recomendações:
Para versões do ZOO-Project anteriores ao commit 7a5ae1a, atualize para uma versão que inclua a correção implementada no commit 7a5ae1a para resolver o problema.
Como solução temporária, considere desabilitar o serviço EchoProcess ou restringir o tratamento de conteúdo SVG para minimizar o risco de exploração.
Evite usar o serviço EchoProcess com entradas SVG até que o problema seja resolvido.
Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Zoo-Project