p PatchFirst

CVE-2025-56515

CVE-2025-56515

CVSS 8.8 · Высокий · EPSS 0,5%

Затронуты ли вы?

  • fiora npmНет опубликованного исправления

Как узнать установленную версию:

npm ls fiora

Бесплатная проверка подсветит, требует ли внимания fiora и остальные зависимости: проверьте lock-файл проекта или весь сервер командой ниже. Без регистрации. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить зависимости бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

File upload vulnerability in Fiora chat application 1.0.0 through user avatar upload functionality. The application fails to validate SVG file content, allowing malicious SVG files with embedded foreignObject elements containing iframe tags and JavaScript event handlers (onmouseover) to be uploaded and stored. When rendered, these SVG files execute arbitrary JavaScript, enabling attackers to steal user sessions, cookies, and perform unauthorized actions in the context of users viewing affected profiles.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • n/a

    Версии
    • n/a: Затронуто

    Нет опубликованного исправления

  • fiora npm

    Версии
    • 1.0.0

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →