.svg ファイルのアップロードによる causefx/organizr における保存型 XSS

このXSS脆弱性は、攻撃者にとって非常に危険な状況を生み出します。攻撃者は、悪意のあるJavaScriptコードを.svgファイルに埋め込み、ユーザーがこのファイルをアップロードした際に実行させることができます。これにより、攻撃者はユーザーのセッションをハイジャックしたり、機密情報を盗み出したり、さらにはユーザーのブラウザを完全に制御したりすることが可能になります。攻撃の成功は、ユーザーが脆弱なバージョンのOrganizrを使用していること、そして攻撃者が巧妙に悪意のあるコードを隠蔽していることに依存します。この脆弱性の悪用は、組織全体に広がる可能性があり、深刻なデータ漏洩やシステムへの不正アクセスにつながる可能性があります。

Organizations and individuals utilizing Organizr in their workflows, particularly those who rely on the application for data management or collaboration, are at risk. This includes developers, project managers, and anyone who interacts with the GitHub repository. Shared hosting environments where multiple users have upload privileges are particularly vulnerable.

• other / generic web:

curl -I 'https://your-organizr-instance/path/to/uploaded_file.svg' | grep -i 'content-security-policy'

• generic web:

 grep -r '<script>' /var/log/apache2/access.log

• generic web:

 grep -r '<script>' /var/log/nginx/error.log

1. 2022-04-13Disclosure

   disclosure

2. 2022-04-13Patch

   patch

1. 予約済み2022-04-13
2. 公開日2022-04-13
3. 更新日2024-08-03
4. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、Organizrをバージョン2.1.1810以降にアップデートすることです。アップデートがすぐに利用できない場合、一時的な緩和策として、サーバー側で.svgファイルのアップロードを無効にするか、ファイルの内容を厳密に検証して、悪意のあるスクリプトが含まれていないことを確認する必要があります。また、Webアプリケーションファイアウォール（WAF）を使用して、XSS攻撃を検出し、ブロックすることも有効です。WAFのルールを適切に設定し、.svgファイルに関連するリクエストを監視することで、攻撃のリスクを軽減できます。