Cloudflare'in resim önbelleğinde XSS açığı bulundu

Cloudflare'in resim optimizasyon servisi olan /cdn-cgi/image/ uç noktasında bir Cross-Site Scripting (XSS) açığı keşfedildi. Güvenlik araştırmacısı albinowax tarafından raporlanan bu açık, önbellek mekanizmasının yetersiz doğrulama ile birleştiğinde nasıl sorun yaratabileceğini ortaya koyuyor.

Açığın temel nedeni, Cloudflare'in resim işleme parametrelerini yeterince sterilize etmemesi. Kötü niyetli bir saldırgan, özel olarak hazırlanmış URL parametreleri aracılığıyla JavaScript kodu enjekte edebiliyor. Daha da önemlisi, bu içerik Cloudflare'in global önbelleğinde tutulduğu için, açığa maruz kalan sayfayı ziyaret eden herkes bu kodu çalıştırıyor.

Önbellek tabanlı XSS saldırıları özellikle tehlikeli çünkü tek bir kötü URL yeterli. Saldırgan, bunu sosyal medyada paylaşabiliyor ve milyonlarca kullanıcı otomatik olarak etkileniyor. Geleneksel XSS'ten farklı olarak, kurban sayısı ve etki alanı çok daha geniş oluyor.

Cloudflare bu sorunu tespit edildikten sonra düzeltmiş olsa da, bu tür açıklar CDN ve resim işleme servisleri gibi yüksek trafikli hizmetlerde ne kadar kritik olabileceğini hatırlatıyor. Özellikle kullanıcı tarafından kontrol edilebilen parametreleri işleyen sistemlerde, giriş doğrulaması ve çıktı kodlaması ihmal edilemez.

Sen bir web uygulaması geliştiriyorsan, harici servislerin (resim CDN, optimize araçları vb.) çıktılarını bile güvenli kabul etme. Tarayıcı tarafında Content-Security-Policy başlıkları ve sunucu tarafında çıktı filtreleme, bu tür saldırıları azaltmanın pratik yolu.