Hackage Stored XSS Vulnerability (HSEC-2024-0004) and Mitigation

HSEC-2024-0004 バグの概要 脆弱性概要 Hackage パッケージおよびドキュメントのアップロードにおけるストレージ型 XSS 脆弱性 脆弱性タイプ: ストレージ型クロスサイトスクリプティング (Stored XSS) 影響を受けるコンポーネント: および 网站。 原因: ユーザーがアップロードしたパッケージドキュメント（HTML/JS）やソースパッケージ（Source Tarball）が、ブラウザによって直接的にレンダリングおよび実行される。攻撃者はこの脆弱性を利用して、ユーザー資格情報（パッケージのアップロード、メタデータの修正など）を窃取する。 修正状況: 2025年1月にデプロイメントにより修正済み。 影響範囲 攻撃シナリオ: 1. ドキュメントアップロード: 攻撃者が悪意のある JS を含むドキュメントパッケージをアップロードし、他のユーザーが閲覧する際にトリガーされる。 2. ソースパッケージの閲覧: 攻撃者が悪意のある HTML/JS を含むソースパッケージをアップロードし、ユーザーが閲覧する際にトリガーされる。 利用方法: ブラウザ内に潜む HTTP 資格情報（ユーザー操作不要）を利用し、ユーザー権限を持つあらゆる操作（悪意のあるパッケージのアップロード、メンテナの追加など）を実行する。 CVSS スコア: 9.9 (Critical) 修正方法 1. ユーザーコンテンツドメインの分離: ユーザーがアップロードしたコンテンツ（ドキュメントおよびソースパッケージ）を独立した DNS ドメイン（例: ）へリダイレクトし、クロスドメインによる資格情報の窃取を防ぐ。 2. 未認識の quick-jump スクリプトの拒否:** サーバーサイドで および の SHA-256 ハッシュ値を検証し、既知の安全なバージョンのみを読み込むことを許可する。 POC コードの抽出 ページには、 の読み込みを検証するための POC コードブロックが提供されています：

目標達成 すべての支援者に感謝 — 100%達成しました！

Hackage Stored XSS Vulnerability (HSEC-2024-0004) and Mitigation

目標達成すべての支援者に感謝 — 100%達成しました！