CVE-2025-64711

PrivateBin, sunucunun yapıştırılan veriler hakkında sıfır bilgiye sahip olduğu çevrimiçi bir pastebin'dir. 1.7.7 sürümünden başlayarak ve 2.0.3 sürümünden önce, dosya adı HTML içeren bir dosyayı sürüklemek, sürükle-bırak yardımcısı aracılığıyla dosya adının sayfaya birebir yansıtılmasına neden olur; bu nedenle hazırlanmış bir dosyayı PrivateBin'e bırakan herhangi bir kullanıcı, kendi oturumu içinde rastgele JavaScript çalıştırır (self-XSS). Bu, bir kurbanı böyle bir dosyayı sürüklemeye veya başka bir şekilde eklemeye ikna edebilen bir saldırganın, düz metni, şifreleme anahtarlarını veya saklanan yapıştırmaları şifrelenmeden veya gönderilmeden önce sızdırmasına olanak tanır. Güvenlik açığının sömürülebilmesi için belirli koşulların mevcut olması gerekir. Windows'ta dosya adında `>` karakterinin ele alınma biçimi nedeniyle yalnızca macOS veya Linux kullanıcıları etkilenir. PrivateBin örneğinde dosya yükleme etkinleştirilmiş olmalıdır. Bir saldırganın yerel dosya sistemine erişimi olması veya kullanıcıyı bir şekilde kötü amaçlı bir dosya (adı) oluşturmaya (veya indirmeye) ikna etmesi gerekir. Bir saldırganın kullanıcıyı bu kötü amaçlı dosyayı PrivateBin'e eklemeye ikna etmesi gerekir. Kötü amaçlı adlandırılmış bir dosyayı düzenleyiciye sürüklemeye kandırılabilen herhangi bir Mac / Linux kullanıcısı etkilenir; kod, kullandıkları PrivateBin örneğinin kaynağında çalışır. Saldırganlar, Content-Security-Policy (CSP) gibi karşı önlemlerin devre dışı bırakıldığı varsayıldığında, veriler şifrelenmeden önce düz metni, parola ifadelerini çalabilir veya kullanıcı arayüzünü manipüle edebilir ve bu kurban oturumu için sıfır bilgi garantilerini geçersiz kılabilir. CSP devre dışı bırakılmamışsa, yabancı bir web sitesine yönlendirme, kimlik avı vb. gibi HTML enjeksiyonu saldırıları mümkün olabilir. Tüm istismarın eklenen dosyanın dosya adına dahil edilmesi gerektiğinden ve yalnızca kullanıcının yerel oturumunu etkilediğinden (yani ne kalıcıdır ne de uzaktan çalıştırılabilir) ve o kullanıcının etkileşime girip bu dosyayı aktif olarak yapıştırmaya eklemesi gerektiğinden, etki pratikte düşük olarak değerlendirilir. 2.0.3 sürümü sorunu düzeltir.