Netdata до версии 2.3.1 отражает предоставленный пользователем параметр любовного запроса конечных точек api/v2/ilove.svg и api/v3/ilove.svg дословно в сгенерированный документ SVG (в текстовый элемент) без экранирования HTML или XML и передает ответ с Content-Type image/svg+xml. Злоумышленник может создать URL-адрес, например /api/v2/ilove.svg?love=<script>...</script>; когда жертва переходит к нему, внедренный скрипт выполняется в браузере жертвы в источнике экземпляра Netdata (отраженный межсайтовый скриптинг). Эти конечные точки зарегистрированы с использованием HTTP_ACL_NOCHECK и анонимного доступа, а поскольку защита токена носителя отключена по умолчанию, они доступны без аутентификации в агенте Netdata по умолчанию.
Проблема была решена путем удаления конечной точки ilove.
Показать оригинальное описание (EN)
Netdata before 2.3.1 reflects the user-supplied love query parameter of the api/v2/ilove.svg and api/v3/ilove.svg endpoints verbatim into the generated SVG document (into a text element) without HTML or XML escaping, and serves the response with Content-Type image/svg+xml. An attacker can craft a URL such as /api/v2/ilove.svg?love=<script>...</script>; when a victim navigates to it the injected script executes in the victim browser in the origin of the Netdata instance (reflected cross-site scripting). These endpoints are registered with HTTP_ACL_NOCHECK and anonymous access and, because bearer-token protection is disabled by default, are reachable without authentication on a default Netdata agent. The issue was resolved by removing the ilove endpoint.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Netdata Netdata
cpe:2.3:a:netdata:netdata:*:*:*:*:*:*:*:*
|
— |
2.3.1
|