ApostropheCMS: Umgehung der Farbfeld-Validierung ermöglicht Stored XSS über nach rgb()/hsl()-Präfix angehängtes HTML

Zusammenfassung

Das Farbfeld akzeptiert jede Zeichenkette, die mit einer gültigen rgb()- / hsl()-Farbe beginnt, da TinyColor.isValid die Übereinstimmung nicht am Ende der Zeichenkette verankert. Ein authentifizierter Benutzer mit Bearbeitungsrechten kann beliebigen HTML-Code nach einem gültigen Farbpräfix speichern. Wenn der gespeicherte Wert gerendert wird, wird die Payload ausgeführt, was zu Stored Cross-Site-Scripting (XSS) führt.

Details

Die serverseitige Validierung des Farbfelds basiert auf TinyColor:

const { TinyColor } = require('@ctrl/tinycolor');
if (!new TinyColor(value).isValid) throw self.apos.error('invalid');

Die Matcher von TinyColor für rgb/hsl sind nicht am Ende der Zeichenkette verankert, während Hex-Matcher dies sind. Getestet mit @ctrl/tinycolor:

Der Wert wird unverändert in MongoDB gespeichert (nicht zu hex8 normalisiert).

Bezug zu GHSA-97v6-998m-fp4g

GHSA-97v6 behob die Injektion von CSS-Custom-Properties, die aus einem <style>-Kontext ausbrachen. Die eigentliche Ursache (eine Validierung, die nachfolgende Inhalte nach einer gültigen Farbe akzeptiert) besteht in <= 4.32.2 weiterhin, sodass entweder die Style-Tag-Senke über </style> ausnutzbar bleibt oder eine separate HTML-Senke ausnutzbar ist. Die Korrektur der Validierung (die Anforderung, dass die gesamte Zeichenkette eine Farbe sein muss, oder das ausschließliche Speichern der normalisierten Ausgabe von TinyColor) würde beides beheben.

Auswirkungen

Jeder Benutzer mit Bearbeitungsrechten kann persistenten JavaScript-Code hinterlegen, der im Browser von Besuchern und Administratoren ausgeführt wird, die die betroffene Seite aufrufen. Dies ermöglicht Session-Hijacking und Aktionen im Namen von Administratoren.

Vorgeschlagene Behebung

Werte ablehnen, es sei denn, die gesamte Zeichenkette ist eine gültige Farbe, z. B. Normalisierung beim Speichern:

const c = new TinyColor(value);
if (!c.isValid) throw self.apos.error('invalid');
value = c.toHex8String(); // store only normalized output