Sylius — это платформа электронной коммерции с открытым исходным кодом. В версиях до 1.9.10, 1.10.11 и 1.11.2 можно загрузить SVG-файл, сод…
Sylius — это платформа электронной коммерции с открытым исходным кодом. В версиях до 1.9.10, 1.10.11 и 1.11.2 можно загрузить SVG-файл, содержащий код межсайтового скриптинга (XSS), в панели администратора. Чтобы выполнить XSS-атаку, сам файл должен быть открыт в новой карточке или загружен вне тега IMG. Проблема относится как к файлам, открытым на панели администратора, так и к страницам магазина. Проблема исправлена в версиях 1.9.10, 1.10.11 и 1.11.2. В качестве обходного решения требуется библиотека, которая добавляет санитарную обработку файлов при загрузке, и перезаписать службу перед записью файла в файловую систему. Консультативное заключение по безопасности GitHub содержит более конкретную информацию об обходном решении.
Продукт получает входные данные от вышестоящего компонента, но не нейтрализует или некорректно нейтрализует специальные символы, такие как «<», «>» и «&», которые могут быть интерпретированы как элементы веб-скриптинга при отправке нижестоящему компоненту, обрабатывающему веб-страницы.
https://cwe.mitre.org/data/definitions/80.html →Открыть в коллекции CWE →Данная атака является разновидностью межсайтового скриптинга (XSS), при которой вредоносные сценарии встраиваются в элементы, не предназначенные для размещения сценариев, — например, теги изображений (<img>), комментарии в XML-документах (< !-CDATA->) и т. д. Данные теги могут не подвергаться тем же процедурам проверки входных данных, проверки выходных данных и иной фильтрации содержимого, что может создавать возможность для злоумышленника туннелировать через элементы приложения и реализовывать XSS-атаку через другие элементы. Как и при всех удалённых атаках, важно различать возможность запустить атаку (например, зондирование внутренней сети на наличие необновлённых серверов) и способность удалённого злоумышленника собирать и интерпретировать результаты указанной атаки.
https://capec.mitre.org/data/definitions/18.html →Открыть в коллекции CAPEC →Злоумышленник встраивает вредоносный код скрипта в параметры строки HTTP-запроса и убеждает жертву отправить этот HTTP-запрос, содержащий строку запроса, в уязвимое веб-приложение. Веб-приложение затем использует значения параметров без надлежащей проверки и генерирует HTML-код, который будет выполнен браузером жертвы.
https://capec.mitre.org/data/definitions/32.html →Открыть в коллекции CAPEC →Злоумышленник эксплуатирует веб-приложения, формирующие содержимое страниц — например, ссылки в HTML — на основе данных, переданных другими участниками и не прошедших надлежащей проверки. Атаки XSS через HTTP-заголовки направлены против заголовков, которые скрыты от большинства пользователей и могут не проверяться веб-приложениями.
https://capec.mitre.org/data/definitions/86.html →Открыть в коллекции CAPEC →В данном шаблоне злоумышленник способен загружать и выполнять произвольный код, удалённо доступный из приложения. Обычно это достигается через небезопасно настроенную среду выполнения PHP и ненадлежащим образом санированный вызов "include" или "require", который пользователь может затем контролировать, направляя его на любой файл, доступный через веб. Это позволяет злоумышленникам захватывать целевое приложение и принуждать его выполнять их собственные инструкции.
https://capec.mitre.org/data/definitions/193.html →Открыть в коллекции CAPEC →