Vulnerabilidad en Squidex (CVE-2023-46252)

Squidex es un centro de gestión de contenidos y CMS headless de código abierto. A las versiones afectadas les falta la verificación de origen en un controlador postMessage, lo que introduce una vulnerabilidad de Cross-Site Scripting (XSS). El archivo editor-sdk.js define tres funciones similares a clases diferentes, que emplean un detector de eventos de mensajes global: SquidexSidebar, SquidexWidget y SquidexFormField. El detector de eventos registrado realiza alguna acción según el tipo de mensaje recibido. Por ejemplo, cuando SquidexFormField recibe un mensaje con el tipo valueChanged, la propiedad del valor se actualiza. La clase SquidexFormField se utiliza, por ejemplo, en el archivo editor-editorjs.html, al que se puede acceder a través de la carpeta pública wwwroot. Utiliza el método onValueChanged para registrar una función de devolución de llamada, que pasa el valor proporcionado por el evento del mensaje al editor.render. Pasar un valor controlado por un atacante a esta función introduce una vulnerabilidad de Cross-Site Scripting (XSS).