CVE-2023-53909CVE-2023-53909是WBCE CMS 1.6.1版本中存在的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞由于应用程序在处理SVG文件上传时缺乏充分的输入验证和内容过滤所导致。攻击者可以利用媒体管理器的文件上传功能，上传包含恶意JavaScript代码的SVG文件到服务器。当其他用户访问或浏览这些被上传的SVG文件时，嵌入其中的恶意脚本将在受害者浏览器上下文中执行，从而窃取会话Cookie、劫持用户账户、进行钓鱼攻击或执行其他恶意操作。由于该漏洞为存储型，恶意代码会永久保存在服务器上，所有访问该文件的用户都会受到攻击影响。此漏洞需要攻击者具有低权限的认证账户即可实施攻击，且需要用户交互才能触发，具有较高的隐蔽性和危害性。
该漏洞存在于WBCE CMS的文件上传处理模块中，具体位于/wbce/modules/elfinder/ef/php/connector.wbce.php端点。漏洞的根本原因在于应用程序对上传的SVG文件内容缺乏严格的安全检查。SVG（可缩放矢量图形）是一种基于XML的矢量图形格式，支持内嵌JavaScript代码。当应用程序允许上传SVG文件但未对文件内容进行净化处理时，攻击者可以在SVG文件中插入<script>标签或其他事件处理器（如onload、onerror等）来执行任意JavaScript代码。攻击流程如下：首先，攻击者使用低权限账户登录CMS系统；然后通过媒体管理器上传精心构造的恶意SVG文件；上传后的SVG文件被存储在服务器可访问的目录中；当受害者访问该SVG文件URL或在管理后台浏览媒体文件时，浏览器会解析SVG并执行其中嵌入的恶意脚本。由于SVG文件通常被视为安全的多媒体资源，浏览器和Web应用防火墙可能不会拦截此类攻击，导致漏洞难以被传统安全设备检测和防御。