CVE-2021-25967 – CKAN - Stored Cross-Site Scripting (XSS) via SVG File Upload

https://notcve.org/view.php?id=CVE-2021-25967

In CKAN, versions 2.9.0 to 2.9.3 are affected by a stored XSS vulnerability via SVG file upload of users’ profile picture. This allows low privileged application users to store malicious scripts in their profile picture. These scripts are executed in a victim’s browser when they open the malicious profile picture En CKAN, versiones 2.9.0 a 2.9.3, están afectadas por una vulnerabilidad de tipo XSS almacenada por medio de la carga de archivos SVG de la foto de perfil de los usuarios. Esto permite a usuarios de aplicaciones con pocos privilegios almacenar scripts maliciosos en su foto de perfil. Estos scripts son ejecutados en el navegador de la víctima cuando ésta abre la imagen de perfil maliciosa • https://www.whitesourcesoftware.com/vulnerability-database/CVE-2021-25967 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •