CVE-2025-71385

Nome do Software Vulnerável e Versões Afetadas Netdata versões anteriores a 2.3.1

Descrição Ocorre cross-site scripting refletido quando a aplicação reflete o parâmetro de consulta love fornecido pelo usuário nos endpoints 'api/v2/ilove.svg' e 'api/v3/ilove.svg' literalmente em um documento SVG gerado, sem a devida codificação HTML ou XML. A resposta é servida com o Content-Type image/svg+xml, permitindo que um invasor execute scripts arbitrários no navegador da vítima dentro da origem da instância. Esses endpoints estão registrados com HTTP ACL NOCHECK e permitem acesso anônimo, o que significa que são acessíveis sem autenticação em um agente padrão, pois a proteção por bearer-token vem desativada por padrão.

Recomendações Atualize para a versão 2.3.1 ou posterior. Como medida paliativa temporária, restrinja o acesso aos endpoints 'api/v2/ilove.svg' e 'api/v3/ilove.svg'.