CVE-2024-32966

Static Web Server (SWS), statik web dosyalarını veya varlıklarını sunmak için uygun, küçük ve hızlı, üretime hazır bir web sunucusudur. Etkilenen sürümlerde, güvenilmeyen bir kullanıcının yükleme yetkilerine sahip olduğu bir dizin için dizin listeleme etkinse, `<img src=x onerror=alert(1)>.txt` gibi kötü niyetli bir dosya adı, web sunucusunun alan adı bağlamında JavaScript kodu çalıştırılmasına izin verir. SWS genellikle dizin listelemeye eklenen hiçbir değer üzerinde HTML varlıklarının kaçış işlemini (escaping) gerçekleştirmez. En azından `file_name` ve `current_path` kötü niyetli veriler içerebilir. `file_uri` de kötü niyetli olabilir ancak ilgili senaryoların tamamı hyper tarafından yakalanıyor görünmektedir. Kullanıcıların kendi seçtikleri bir isim altında dosya yüklemesine veya dizin oluşturmasına izin veren herhangi bir web sunucusu için bu durum, saklı bir siteler arası betik çalıştırma (XSS) zafiyeti haline gelir. Kullanıcıların yükseltme yapmaları önerilir. Bu zafiyet için bilinen bir geçici çözüm yoktur.