XSS stocké via le téléversement de fichier .svg dans causefx/organizr

L'impact de cette vulnérabilité est significatif. Un attaquant peut exploiter cette faille pour exécuter du code JavaScript arbitraire dans le contexte du navigateur de l'utilisateur. Cela peut permettre de voler des cookies de session, de modifier le contenu de la page web affichée, de rediriger l'utilisateur vers des sites malveillants, ou d'effectuer des actions au nom de l'utilisateur sans son consentement. La nature stockée de la vulnérabilité signifie que l'attaquant n'a besoin de l'uploader qu'une seule fois pour affecter potentiellement de nombreux utilisateurs. Cette vulnérabilité est similaire à d'autres failles XSS qui ont conduit à des compromissions de données et des prises de contrôle de comptes.

Organizations and individuals utilizing Organizr in their workflows, particularly those who rely on the application for data management or collaboration, are at risk. This includes developers, project managers, and anyone who interacts with the GitHub repository. Shared hosting environments where multiple users have upload privileges are particularly vulnerable.

• other / generic web:

curl -I 'https://your-organizr-instance/path/to/uploaded_file.svg' | grep -i 'content-security-policy'

• generic web:

 grep -r '<script>' /var/log/apache2/access.log

• generic web:

 grep -r '<script>' /var/log/nginx/error.log

1. 2022-04-13Disclosure

   disclosure

2. 2022-04-13Patch

   patch

1. Réservé2022-04-13
2. Publiée2022-04-13
3. Modifiée2024-08-03
4. EPSS mis à jour2026-04-02

La mitigation principale consiste à mettre à jour Organizr vers la version 2.1.1810 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, il est recommandé de désactiver temporairement l'upload de fichiers .svg. En attendant la mise à jour, une solution de contournement pourrait consister à implémenter une validation stricte des fichiers uploadés, en vérifiant leur contenu et leur type pour s'assurer qu'ils ne contiennent pas de code JavaScript malveillant. Après la mise à jour, vérifiez que l'upload de fichiers .svg est correctement géré et qu'aucun script malveillant ne peut être injecté.