streamaserver/streama

XSS in the Upload Poster feature using an SVG image

Aberta

#1.088 aberto em 13 de set. de 2021

Ver no GitHubGuia do colaborador
 (0 comentário) (1 reação) (0 responsável)JavaScript (977 forks)batch import
BugHelp wanted

Métricas do repositório

Stars
 (9.565 estrelas)
Métricas de merge de PR
 (Nenhuma PRs mesclada em 30d)

Description

If uploading a SVG file in the poster file browser containing a script tag, this script tag will be executed when opening the file. example file:

<?xml version="1.0" standalone="no"?>
<!DOCTYPE svg PUBLIC "-//W3C//DTD SVG 1.1//EN" "http://www.w3.org/Graphics/SVG/1.1/DTD/svg11.dtd">

<svg version="1.1" baseProfile="full" xmlns="http://www.w3.org/2000/svg" id="mysvg">
<script>
alert(document.cookie);
</script>
</svg>

Guia do colaborador

Direção de pesquisa
Investigue o endpoint de upload de arquivo no controlador Grails (provavelmente em um controlador como FileController.groovy). Implemente validação para rejeitar arquivos SVG que contenham tags de script ou remova scripts dos SVGs enviados. Alternativamente, considere proibir totalmente uploads de SVG. Certifique se de que a correção seja testada.
Pilha de tecnologia
javascript
Domain
securityfrontend
Tipo Issue
Bug
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
2
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
1-3 horas
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
Web security basicsSVG format understanding
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
65