CVE-2022-24749 in Sylius
Résumé
par VulDB • 09/08/2026
Sylius est une plateforme de commerce électronique open source. Dans les versions antérieures à 1.9.10, 1.10.11 et 1.11.2, il est possible de télécharger un fichier SVG contenant du code cross-site scripting (XSS) dans le panneau d'administration. Pour effectuer une attaque XSS, le fichier doit être ouvert dans un nouvel onglet ou chargé en dehors de la balise IMG. Le problème concerne à la fois les fichiers ouverts sur le panneau d'administration et ceux affichés sur les pages de la boutique. Ce problème est corrigé dans les versions 1.9.10, 1.10.11 et 1.11.2. En attendant une mise à jour, il est recommandé d'utiliser une bibliothèque qui ajoute une sanitization des fichiers lors du téléchargement (on-upload file sanitization) et de surcharger le service avant l'écriture du fichier sur le système de fichiers. L'avis de sécurité GitHub contient plus d'informations spécifiques concernant cette solution de contournement.
If you want to get best quality of vulnerability data, you may have to visit VulDB.