Skip to content
New issue

Have a question about this project? Sign up for a free GitHub account to open an issue and contact its maintainers and the community.

By clicking “Sign up for GitHub”, you agree to our terms of service and privacy statement. We’ll occasionally send you account related emails.

Already on GitHub? Sign in to your account

/!\Security #114

Open
ArianeBlow opened this issue Feb 3, 2022 · 2 comments
Open

/!\Security #114

ArianeBlow opened this issue Feb 3, 2022 · 2 comments

Comments

@ArianeBlow
Copy link

Hello,

Il y a un petit soucis dans le contrôle des fichiers uploadés via le file upload du module ITSM.

La possibilité d'uploader du format XML devrait se suivre d'un contrôle du dit fichier, en l'état il est possible d'uploader (via un user authentifié), un document XML contenant une XSS ou d'autres joyeusetées malicieuses.
xss_eon

@ArianeBlow
Copy link
Author

Dasn mon infini sagesse, je vous ait envoyé un mail avec "le reste". (PS: je n'ai pas essayé de fair du RCE via le file upload de XML, à savoir que c'est en thérorie possible via appel d'entité extern).

@ArianeBlow
Copy link
Author

Une CVE a été enregistrée pour cette XSS : https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24612

Sign up for free to join this conversation on GitHub. Already have an account? Sign in to comment
Labels
None yet
Projects
None yet
Development

No branches or pull requests

1 participant