streamaserver/streama

XSS in the Upload Poster feature using an SVG image

Open

#1 088 ouverte le 13 sept. 2021

Voir sur GitHub
 (0 commentaires) (1 réaction) (0 assignés)JavaScript (977 forks)batch import
BugHelp wanted

Métriques du dépôt

Stars
 (9 565 stars)
Métriques de merge PR
 (Aucune PR mergée en 30 j)

Description

If uploading a SVG file in the poster file browser containing a script tag, this script tag will be executed when opening the file. example file:

<?xml version="1.0" standalone="no"?>
<!DOCTYPE svg PUBLIC "-//W3C//DTD SVG 1.1//EN" "http://www.w3.org/Graphics/SVG/1.1/DTD/svg11.dtd">

<svg version="1.1" baseProfile="full" xmlns="http://www.w3.org/2000/svg" id="mysvg">
<script>
alert(document.cookie);
</script>
</svg>

Guide contributeur

Direction de recherche
Examinez le point de terminaison de téléchargement de fichiers dans le contrôleur Grails (probablement dans un contrôleur comme FileController.groovy). Implémentez une validation pour rejeter les fichiers SVG contenant des balises de script ou supprimez les scripts des SVG téléchargés. Sinon, envisagez d'interdire complètement les téléchargements de SVG. Assurez vous que la correction est testée.
Stack technique
javascript
Domaine
securityfrontend
Type d'issue
Bug
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
2
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
1-3 heures
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
Web security basicsSVG format understanding
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
65