CVE-2025-64711 in PrivateBin
Riassunto
di VulDB • 24/06/2026
PrivateBin è un servizio online di tipo pastebin in cui il server non ha alcuna conoscenza dei dati incollati (zero-knowledge). A partire dalla versione 1.7.7 e fino alla versione 2.0.3, il trascinamento di un file il cui nome contiene HTML viene riflesso letteralmente nella pagina tramite l'helper drag-and-drop; pertanto, qualsiasi utente che trascina un file appositamente creato su PrivateBin eseguirà codice JavaScript arbitrario all'interno della propria sessione (self-XSS). Ciò consente a un attaccante che riesce a indurre una vittima a trascinare o altrimenti allegare tale file di esfiltrare testo in chiaro, chiavi di crittografia o paste memorizzate prima che vengano crittografati o inviati. Devono essere soddisfatte determinate condizioni affinché la vulnerabilità sia sfruttabile. Sono interessati solo gli utenti macOS o Linux, a causa del modo in cui il carattere `>` viene trattato nel nome di un file su Windows. L'istanza PrivateBin deve avere abilitato l'upload dei file. Un attaccante deve avere accesso al filesystem locale oppure convincere l'utente a creare (o scaricare) un file con un nome malevolo. Inoltre, l'attaccante deve indurre l'utente ad allegare tale file malevolo su PrivateBin. Qualsiasi utente Mac/Linux che viene ingannato nel trascinare un file dal nome malevolo nell'editor è interessato; il codice viene eseguito nell'origine dell'istanza PrivateBin in uso. Gli attaccanti possono rubare testo in chiaro, passphrase o manipolare l'interfaccia utente prima della crittografia dei dati, vanificando le garanzie zero-knowledge per quella sessione di vittima, assumendo che contromisure come Content-Security-Policy (CSP) siano state disabilitate. Se CSP non è disabilitato, potrebbero essere possibili attacchi di iniezione HTML - ad esempio il reindirizzamento a un sito web esterno, phishing, ecc. Poiché l'intero exploit deve essere incluso nel nome del file allegato e colpisce solo la sessione locale dell'utente (ovvero non è persistente né eseguibile da remoto) e tale utente deve interagire e allegare attivamente quel file al paste, l'impatto è considerato praticamente basso. La versione 2.0.3 risolve il problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.