wallabag存储型XSS漏洞：Pocket HTML导入逻辑缺陷致恶意脚本保留

漏洞概述 漏洞名称: wallabag: 一个失败的 Pocket HTML 导入导致攻击者 HTML 留在公共 web 根目录（存储型 XSS） 漏洞类型: 存储型 XSS 影响版本: 2.6.14（固定提交 74c6f0945bc31865cf6398ba56e32f02ed3443cb）和当前 master（提交 c8314265551a65166092f5f44ba05e8e8dbba） 漏洞描述: Pocket HTML 导入功能将上传的文件写入 ，在解析内容之前。如果导入的 HTML 文档不包含 锚元素，控制器会删除移动的文件，但仅在其内部 成功分支中。如果导入返回 false（对于没有锚点的 HTML），文件会被保留。由于 Apache 规则直接服务任何现有文件而不通过 Symfony 前端控制器，保留的文件可以通过 访问，没有应用访问控制检查或应用设置的安全头。任何经过身份验证的用户都可以在此处放置脚本可执行的 HTML，当受害者打开链接时，脚本将在 wallabag 源中执行。这是一个存储型跨站脚本漏洞，在文档化的默认 Apache 部署下。唯一的输入验证是客户端提供的 MIME 字符串，攻击者可以控制。 影响范围 受影响用户: 任何经过身份验证的 wallabag 用户 攻击场景: 攻击者可以上传包含脚本的 HTML 文件，当受害者打开该文件时，脚本将在 wallabag 源中执行，导致存储型 XSS 攻击。 修复方案 1. 内容验证: 在上传表单中添加内容验证，确保上传的文件不包含恶意脚本。 2. MIME 类型检查: 不要信任客户端提供的 MIME 字符串，使用服务器端验证 MIME 类型。 3. 文件清理: 确保在导入失败时正确清理上传的文件，避免文件被保留在公共 web 根目录。 4. 安全头设置: 在 Apache 配置中设置安全头，如 和 ，以防止脚本执行。 POC 代码 详细攻击步骤 1. 创建 HTML 文件: 攻击者创建一个包含脚本元素且没有 锚元素的 HTML 文件。 2. 上传文件: 攻击者登录并打开 Pocket HTML 导入页面，提交上传表单，设置 Content-Type 为允许的值（如 ）。 3. 控制器处理: 控制器接受 MIME 值，将字节移动到 ，然后调用 。导入器找到零锚点并返回 ，成功分支不运行， 被跳过。状态更改：攻击者 HTML 现在存在于公共文档根目录下。用户看到失败的导入通知。 4. 构建公共 URL: 攻击者构建公共 URL 。 5. 发送链接: 攻击者将链接发送给受害者，例如同一实例的管理员。当受害者打开链接时，Apache 直接服务文件，没有 CSP，inline 脚本在受害者浏览器中运行。状态更改：攻击者脚本执行同源，可以驱动与受害者经过身份验证的会话相同的请求，读取同源页面内容，或执行进一步操作。 验证 路由和委托: 上传处理、MIME 信任、移动目标、unlink 受 保护: , L28-L54 无锚点返回 false 和缺乏消毒: 公共资源目录和 允许列表: 没有内容验证器的表单: , L16-L19 直接静态服务和缺少 CSP 头: , L50-L56 访问控制 catch-all: 目录 仅包含 占位符: 在固定提交中确认，通过 GitHub 内容列表确认 影响和限制 影响: 存储型 XSS 攻击，攻击者可以在 wallabag 源中执行脚本。 限制: 需要受害者打开攻击者提供的链接，且受害者必须经过身份验证。 参考 报告者: hieuPenguin, github.com/hieuPenguin 项目: wallabag/wallabag, self-hosted read-it-later web application, Pocket HTML import 类: CWE-79 Cross-site Scripting, CWE-459 Incomplete Cleanup, CWE-434 Unrestricted Upload of File with Dangerous Type

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

wallabag存储型XSS漏洞：Pocket HTML导入逻辑缺陷致恶意脚本保留

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

wallabag存储型XSS漏洞：Pocket HTML导入逻辑缺陷致恶意脚本保留

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！