Vulnerabilidad en PrivateBin (CVE-2025-64711)

PrivateBin es un pastebin en línea donde el servidor tiene conocimiento cero de los datos pegados. A partir de la versión 1.7.7 y antes de la versión 2.0.3, arrastrar un archivo cuyo nombre de archivo contiene HTML se refleja textualmente en la página a través del asistente de arrastrar y soltar, por lo que cualquier usuario que suelte un archivo manipulado en PrivateBin ejecutará JavaScript arbitrario dentro de su propia sesión (self-XSS). Esto permite a un atacante que puede atraer a una víctima para que arrastre o adjunte de otra manera dicho archivo exfiltrar texto plano, claves de cifrado o pegados almacenados antes de que sean cifrados o enviados. Deben existir ciertas condiciones para que la vulnerabilidad sea explotable. Solo los usuarios de macOS o Linux se ven afectados, debido a la forma en que se trata el carácter '>' en un nombre de archivo en Windows. La instancia de PrivateBin necesita tener la carga de archivos habilitada. Un atacante necesita tener acceso al sistema de archivos local o de alguna manera convencer al usuario de crear (o descargar) un archivo (nombre) malicioso. Un atacante necesita convencer al usuario de adjuntar ese archivo malicioso a PrivateBin. Cualquier usuario de Mac / Linux que pueda ser engañado para arrastrar un archivo con nombre malicioso al editor es impactado; el código se ejecuta en el origen de la instancia de PrivateBin que están utilizando. Los atacantes pueden robar texto plano, frases de contraseña o manipular la interfaz de usuario antes de que los datos sean cifrados, anulando las garantías de conocimiento cero para esa sesión de víctima, asumiendo que las contramedidas como Content-Security-Policy (CSP) han sido deshabilitadas. Si CSP no está deshabilitado, los ataques de inyección HTML pueden ser posibles, como redirigir a un sitio web externo, phishing, etc. Dado que todo el exploit debe incluirse en el nombre de archivo del archivo adjunto y solo afecta la sesión local del usuario (es decir, no es persistente ni ejecutable remotamente) y ese usuario necesita interactuar y adjuntar activamente ese archivo al pegado, el impacto se considera prácticamente bajo. La versión 2.0.3 corrige el problema.