CVE-2022-24749 in Sylius
要約
〜によって VulDB • 2026年08月27日
Syliusはオープンソースのeコマースプラットフォームです。バージョン1.9.10、1.10.11、および1.11.2より前では、管理パネルにおいてクロスサイトスクリプティング（XSS）コードを含むSVGファイルをアップロードすることが可能です。XSS攻撃を実行するには、ファイル自体を新しいカードで開くか、IMGタグの外側から読み込む必要があります。この問題は、管理パネル上で開かれるファイルとショップページ上のファイルの両方に適用されます。本脆弱性はバージョン1.9.10、1.10.11、および1.11.2で修正されています。回避策としては、アップロード時のファイルサニタイズを追加するライブラリを要求し、ファイルをファイルシステムに書き込む前にサービスを上書きします。詳細な回避策についてはGitHub Security Advisoryをご参照ください。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.