CVE-2025-64711

PrivateBin, serverin yapışdırılan məlumatlar haqqında heç bir biliyə sahib olmadığı onlayn pastebin xidmətidir. Versiya 1.7.7-dən başlayaraq versiya 2.0.3-ə qədər olan versiyalarda, fayl adında HTML ehtiva edən faylın sürüklənməsi, drag-and-drop köməkçisi vasitəsilə səhifədə olduğu kimi əks olunur, buna görə də PrivateBin-ə xüsusi hazırlanmış faylı yerləşdirən hər hansı istifadəçi öz sessiyasında ixtiyari JavaScript kodunu icra edəcəkdir (self-XSS). Bu, qurbanı belə bir faylı sürükləməyə və ya əlavə etməyə sövq edə bilən hücumçuya, məlumatlar şifrələnməmişdən və ya göndərilməmişdən əvvəl açıq mətni, şifrələmə açarlarını və ya saxlanılan paste-ləri oğurlamağa imkan verir. Zəifliyin istismar edilə bilməsi üçün müəyyən şərtlər mövcud olmalıdır. Windows-da fayl adındakı `>` simvolunun işlənmə qaydasına görə, yalnız macOS və ya Linux istifadəçiləri təsirlənir. PrivateBin instansiyasında faylların yüklənməsi aktiv olmalıdır. Hücumçunun lokal fayl sisteminə girişi olmalı və ya hər hansı yolla istifadəçini zərərli fayl (adı) yaratmağa (və ya yükləməyə) razı salmalıdır. Hücumçu istifadəçini həmin zərərli faylı PrivateBin-ə əlavə etməyə razı salmalıdır. Zərərli adlı faylı redaktora sürükləməyə sövq edilə bilən hər hansı Mac / Linux istifadəçisi təsirə məruz qalır; kod onların istifadə etdiyi PrivateBin instansiyasının mənşəyində (origin) icra olunur. Content-Security-Policy (CSP) kimi qarşıtədbirlərin deaktiv edildiyi fərz edilərsə, hücumçular məlumatlar şifrələnməzdən əvvəl açıq mətni, şifrələri oğurlaya və ya UI-ı manipulyasiya edə bilər ki, bu da həmin qurban sessiyası üçün sıfır-bilik (zero-knowledge) zəmanətlərini ləğv edir. Əgər CSP deaktiv edilməyibsə, kənar veb sayta yönləndirmə, fişinq və s. kimi HTML inyeksiyası hücumları mümkün ola bilər. Bütün eksploytun əlavə edilən faylın adına daxil edilməli olması, yalnız istifadəçinin lokal sessiyasına təsir etməsi (yəni nə qalıcıdır, nə də uzaqdan icra edilə biləndir) və istifadəçinin interaktiv şəkildə həmin faylı paste-ə əlavə etməsinin tələb olunması səbəbindən təsir praktiki olaraq aşağı hesab edilir. Versiya 2.0.3 bu problemi aradan qaldırır.