DNN易受通过SVG上传的存储型跨站脚本(XSS)攻击 · CVE-2025-64094

漏洞详情

包信息

受影响版本

已修复版本

上传的SVG文件内容清理未能覆盖所有可能的XSS场景。

DNN会验证SVG文件内容以确保其有效且不包含任何恶意代码。这些检查是作为CVE-2025-48378的一部分引入的。

然而，确保SVG文件中没有脚本元素的检查并不全面，可能允许某些恶意SVG文件被上传。

由于此漏洞允许在用户浏览器上下文中执行任意JavaScript代码，可能导致一系列攻击，包括数据泄露、会话劫持和Web应用程序篡改等。

中等严重程度 - CVSS总体评分：6.4/10

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

CWE-79 - 在网页生成过程中输入清理不当（跨站脚本）

产品在将用户可控的输入放置到用作提供给其他用户的网页输出之前，未能清理或不正确地清理该输入。