QuickDrop — это простое в использовании приложение для обмена файлами. До версии 1.5.3 в конечной точке предварительного просмотра файлов существовала сохраненная уязвимость XSS. Приложение позволяет загружать файлы SVG через конечную точку /api/file/upload-chunk.
Злоумышленник может загрузить специально созданный файл SVG, содержащий полезную нагрузку JavaScript. Когда любой пользователь просматривает предварительный просмотр файла, сценарий выполняется в контексте домена приложения. Эта уязвимость исправлена в версии 1.5.3.
Показать оригинальное описание (EN)
QuickDrop is an easy-to-use file sharing application. Prior to 1.5.3, a stored XSS vulnerability exists in the file preview endpoint. The application allows SVG files to be uploaded via the /api/file/upload-chunk endpoint. An attacker can upload a specially crafted SVG file containing a JavaScript payload. When any user views the file preview, the script executes in the context of the application's domain. This vulnerability is fixed in 1.5.3.
Характеристики атаки
Последствия
Строка CVSS v4.0