Vulnerabilidad en eLabFTW (CVE-2024-28100)

eLabFTW es un cuaderno de laboratorio electrónico de código abierto para laboratorios de investigación. Al cargar archivos especialmente manipulados, un usuario normal puede crear una situación en la que el navegador de un visitante ejecute código JavaScript arbitrario en el contexto de la aplicación eLabFTW. Esto puede ser provocado por el visitante que ve una lista de experimentos. Al ver esto, el script malicioso puede actuar en nombre del visitante de cualquier manera, incluida la creación de claves API para la persistencia u otras opciones normalmente disponibles para el usuario. Si el usuario que ve la página tiene el rol de administrador de sistemas en eLabFTW, el script puede actuar como administrador de sistemas (incluida la configuración del sistema y roles de administración de usuarios extensos). Se recomienda a los usuarios que actualicen al menos a la versión 5.0.0. No se conocen workarounds para esta vulnerabilidad.