در پورتال YouMind یک آسیب‌پذیری از نوع Cross-Site Scripting (XSS) شناسایی شده است که در بخش به‌روزرسانی آواتار (Avatar Update Endpoint) رخ می‌دهد. این نقص امنیتی زمانی فعال می‌شود که کاربر سعی کند تصویر پروفایل خود را از طریق یک URL دلخواه تنظیم کند.
تحلیل فنی
این مشکل به دلیل عدم پاک‌سازی (Sanitization) و اعتبارسنجی محتوای SVG هنگام تنظیم تصویر پروفایل ایجاد شده است. در واقع، مهاجم می‌تواند یک تصویر SVG حاوی کدهای JavaScript جاسازی شده را به عنوان آواتار قرار دهد.
- مکانیسم اجرا: فایل‌های SVG توسط CDN با مقدار
Content-Type: image/svg+xmlارائه می‌شوند. - دامنه اثرگذاری: هنگامی که کاربر مستقیماً به این URL دسترسی پیدا کند، اسکریپت مخرب در محیط (Context) دامنه CDN اجرا می‌شود.
