Plateforme
laravel
Composant
bagisto/bagisto
Corrigé dans
2.3.9
CVE-2025-62418 affects Bagisto, an open-source Laravel eCommerce platform. This vulnerability arises from the image upload functionality within the TinyMCE editor, where an attacker with administrative privileges can upload a crafted SVG file containing embedded JavaScript. Upon viewing the uploaded image, the malicious JavaScript code executes within the context of the admin or user's browser, potentially leading to session hijacking or data theft. The vulnerability is resolved in version 2.3.8.
La vulnérabilité CVE-2025-62418 dans Bagisto (version 2.3.7) permet à un attaquant disposant de privilèges suffisants (par exemple, un administrateur) de télécharger un fichier SVG malveillant contenant du JavaScript intégré via la fonctionnalité de téléchargement d'images TinyMCE. Lorsque ce fichier est visualisé, ce code malveillant s'exécute dans le contexte du navigateur de l'administrateur/utilisateur, ce qui peut entraîner une exécution de code à distance, un vol d'informations sensibles ou une manipulation de la plateforme de commerce électronique. Le score CVSS de 6.9 indique un risque moyen à élevé, nécessitant une attention immédiate. Cette vulnérabilité est particulièrement préoccupante car elle affecte l'interface d'administration, ce qui pourrait compromettre la sécurité de l'ensemble de la boutique en ligne.
Un attaquant pourrait exploiter cette vulnérabilité s'il a accès à l'interface d'administration de Bagisto. Il pourrait créer un fichier SVG malveillant contenant du JavaScript conçu pour voler des informations d'identification, rediriger les utilisateurs vers des sites Web malveillants ou même prendre le contrôle de la plateforme. Le téléchargement de ce fichier SVG via TinyMCE, par exemple, lors de la modification d'un contenu, déclencherait l'exécution du JavaScript dans le navigateur de l'utilisateur. L'absence de validation appropriée des fichiers SVG permet cette exploitation. La complexité de l'exploitation est relativement faible, car elle ne nécessite que l'accès administratif et la capacité de télécharger un fichier.
Statut de l'Exploit
EPSS
0.03% (percentile 8%)
CISA SSVC
Vecteur CVSS
La solution à cette vulnérabilité consiste à mettre à niveau Bagisto vers la version 2.3.8 ou ultérieure. Cette version inclut une correction qui empêche l'exécution de JavaScript intégré dans les fichiers SVG téléchargés via TinyMCE. En guise de mesure préventive, envisagez de désactiver le téléchargement d'images SVG si elles ne sont pas strictement nécessaires. De plus, examinez les autorisations des utilisateurs dans la plateforme Bagisto pour vous assurer que seuls les utilisateurs autorisés ont accès à la fonctionnalité de téléchargement d'images. Surveillez régulièrement les journaux du serveur à la recherche d'activités suspectes liées au téléchargement de fichiers.
Actualice Bagisto a la versión 2.3.8 o superior. Esta versión corrige la vulnerabilidad de Cross-Site Scripting (XSS) en la funcionalidad de carga de imágenes TinyMCE. La actualización evitará que atacantes ejecuten código malicioso en el contexto del navegador de los administradores/usuarios.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
TinyMCE est un éditeur de texte enrichi open source couramment utilisé dans les plateformes de commerce électronique comme Bagisto pour permettre aux utilisateurs de créer et de modifier du contenu visuellement.
Les fichiers SVG (Scalable Vector Graphics) peuvent contenir du code JavaScript intégré, ce qui permet aux attaquants d'exécuter du code malveillant dans le navigateur de l'utilisateur lors de la visualisation du fichier.
Si vous ne pouvez pas mettre à niveau immédiatement, envisagez de désactiver le téléchargement d'images SVG dans TinyMCE comme mesure temporaire. Examinez également les autorisations des utilisateurs pour limiter l'accès à la fonctionnalité de téléchargement d'images.
Vérifiez la version de Bagisto installée. Si vous utilisez la version 2.3.7, vous êtes vulnérable. Vous pouvez également effectuer un audit de sécurité pour identifier les fichiers SVG potentiellement malveillants qui pourraient avoir été téléchargés précédemment.
Il existe divers outils d'analyse de sécurité qui peuvent analyser les fichiers SVG à la recherche de code JavaScript malveillant. Consultez un professionnel de la sécurité pour obtenir des recommandations spécifiques.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier composer.lock et nous te dirons instantanément si tu es affecté.