CVE-2022-24749

Versões do Sylius anteriores à 1.9.10

Versões do Sylius anteriores à 1.10.11

Versões do Sylius anteriores à 1.11.2

A vulnerabilidade permite o upload de um arquivo SVG contendo código de cross-site scripting (XSS) no painel de administração. Para realizar um ataque XSS, o próprio arquivo precisa ser aberto em um novo cartão ou carregado fora da tag IMG. Este problema se aplica tanto a arquivos abertos no painel de administração quanto às páginas da loja.

Para versões anteriores à 1.9.10, atualize para a versão 1.9.10 ou posterior.

Para versões anteriores à 1.10.11, atualize para a versão 1.10.11 ou posterior.

Para versões anteriores à 1.11.2, atualize para a versão 1.11.2 ou posterior.

Como solução temporária, considere utilizar uma biblioteca que adicione sanitização de arquivos no momento do upload, como enshrined/svg-sanitize, e sobrescreva o serviço antes de gravar o arquivo no sistema de arquivos usando a classe ImageUploader fornecida. Registre o serviço no contêiner usando a configuração YAML fornecida.