CKAN has an XSS vector in user uploaded images in group/org and user profiles

CKAN ist ein quelloffenes DMS (Datenverwaltungssystem) für die Bereitstellung von Datenhubs und Dataportalen. Mithilfe einer speziell angefertigten Datei könnte ein Benutzer potenziell eine Datei hochladen, die Code enthält, der bei Ausführung beliebige Anfragen an den Server senden kann. Wenn diese Datei von einem Administrator geöffnet wird, könnte dies zu einer Erhöhung der Berechtigungen des ursprünglichen Einreichers oder anderen bösartigen Aktionen führen. Benutzer müssen sich auf der Website registriert haben, um diese Schwachstelle auszunutzen. Diese Schwachstelle wurde in CKAN 2.10.7 und 2.11.2 behoben. Benutzern wird empfohlen, ein Upgrade durchzuführen. In Versionen vor CKAN 2.10.7 und 2.11.2 können die Betreiber der Website die unterstützten Dateitypen für das Hochladen mithilfe der Konfigurationsoptionen `ckan.upload.user.mimetypes` / `ckan.upload.user.types` und `ckan.upload.group.mimetypes` / `ckan.upload.group.types` einschränken. Um das Hochladen von Dateien vollständig zu deaktivieren, können Benutzer folgende Option verwenden: `ckan.upload.user.types = none`.