Podatności CarrierWave

CarrierWave nie w pełni naprawił lukę CVE-2023-49090. Przy przesyłaniu do magazynu obiektowego (np. Amazon S3) można ustawić wartość Content-Type, która zostanie zinterpretowana przez przeglądarki inaczej niż pozwala na to content_type_allowlist, poprzez podanie wielu wartości oddzielonych przecinkami.

CarrierWave to rozwiązanie do przesyłania plików dla Rails, Sinatra i innych frameworków Ruby. CarrierWave ma podatność polegającą na obejściu listy dozwolonych typów zawartości (Content-Type allowlist), co może prowadzić do XSS. Walidacja w allowlisted_content_type? określa uprawnienia Content-Type poprzez częściowe dopasowanie. Jeśli argument content_type zostanie spreparowany przez atakującego, dozwolone zostaną typy spoza listy. Poprawiono w wersjach 2.2.5 i 3.0.5.

W frameworku CarrierWave, w wersjach przed 2.2.7 i 3.1.3, sprawdzenie denylisty content_type_denylist nie poprawnie obsługuje metaznaki regex w wpisach tekstowych, co prowadzi do braku blokowania zamierzonych typów zawartości. W rezultacie aplikacje mogą być narażone na ataki XSS poprzez przesyłanie plików SVG zawierających złośliwy JavaScript.