Descripción
countly-server es el componente del lado del servidor de Countly, una solución de analítica de productos. En versiones anteriores a 24.05.50 y 25.03.44, plugins/star-rating/api/api.js permite que un administrador de aplicación no global use uploadFeedbackFile para almacenar contenido activo controlado por el atacante, confiando en el tipo MIME suministrado. plugins/star-rating/frontend/app.js sirve públicamente el contenido almacenado desde feedback/preview/ con el Content-Type influenciado por el atacante, por lo que un administrador global que abra la vista previa ejecuta la carga útil en el origen de Countly y expone capacidades de la sesión autenticada, incluidos los valores auth_token y csrf_token. Este problema está corregido en las versiones 24.05.50 y 25.03.44.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- countly-server Afectadas: < 24.05.50 · >= 25.03, < 25.03.44
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/Countly/countly-server/security/advisories/GHSA-jqp4-p86c-…
- Referencia en github.comgithub.com/Countly/countly-server/commit/ae899f37bc6d70c1b44859756ce8…
- Referencia en github.comgithub.com/Countly/countly-server/commit/fcb16c808c0fdb6dc99fe9c66de7…
- Referencia en github.comgithub.com/Countly/countly-server/releases/tag/24.05.50
- Referencia en github.comgithub.com/Countly/countly-server/releases/tag/25.03.44
Ver el texto original en inglés (CVE.org)
countly-server: Stored XSS in feedback upload enables app-admin to compromise global admin session context
countly-server is the server-side part of Countly, a product analytics solution. Prior to 24.05.50 and 25.03.44, plugins/star-rating/api/api.js allows a non-global application administrator to use uploadFeedbackFile to store attacker-controlled active content while trusting the supplied MIME type. plugins/star-rating/frontend/app.js publicly serves the stored content from feedback/preview/ with the attacker-influenced Content-Type, so a global administrator who opens the preview executes the payload in the Countly origin and exposes authenticated session capabilities, including auth_token and csrf_token values. This issue is fixed in versions 24.05.50 and 25.03.44.