Stored XSS in indexedVolumes
Beschreibung
### Zusammenfassung XSS kann über das Update Asset Index-Dienstprogramm ### PoC 1 ausgelöst werden. Zugangseinstellungsregister 2. Erstellen Sie neue Assets 3. In assets name inject payload: "alert(26) 4. Klicken Sie auf die Registerkarte Dienstprogramme 5. Wählen Sie alle Volumes oder Volume Trigger xss 7. Klicken Sie auf Update Asset Indexes. XSS wird ausgelöst Json Response Volumes name makes triggers the payload "session":{"id":1",indexedVolumes":{"1":"\"alert(26)"}, Es wird auf jeder POST-Anfrage im Dienstprogramm ausgeführt. Aufgelöst in https://github.com/craftcms/cms/commit/8c2ad0bd313015b8ee42326af2848ee748f1d766
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 4.4.6.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Pixel & Tonic Craft CMS.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.