abraxas/pfsense-rss-body-xsspfSense CE 2.9.0-DEVELOPMENT - متوسط - عن بُعد - XSS - بقايا محتوى RSS بتاريخ 26_04
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · pfsense-rss-body-xss
الفئة: XSS الوصول: عن بُعد
pfSense CE 2.9.0-DEVELOPMENT (9363ac5) - pfsense.org
26_04 يرمّز العنوان. النص يُمرَّر عبر strip_tags فقط. الرابط الدائم href خام.
| المعرّف | لا يوجد CVE بعد |
| الفئة | XSS |
| الوصول | عن بُعد (WebGUI موثَّق ما لم يُذكر خلاف ذلك) |
| CWE | CWE-79 |
| CVSS | متوسط: 5.4 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| المنتج | pfSense CE |
| المتأثر | 2.9.0-DEVELOPMENT (9363ac5b8651a1c7a333180425ce7719070f95f9) |
| المصادقة | جلسة WebGUI مع page-all / dashboard widgets |
| الترخيص | GNU Affero GPL v3.0 |
| المختبر | 127.0.0.1 فقط |
ثبّتُّ الفرع العام master عند 9363ac5. المختبر عبارة عن أداة PHP (gadget) للنقاط المثبَّتة، عبر HTTP على الواجهة الراجعة 127.0.0.1:19150.
مقال السلسلة: https://abraxaslabs.tech/research/pfsense-ce-leftovers
| الطريقة | النقطة | الصلاحية |
|---|---|---|
| وصف عنصر تغذية RSS / الرابط الذي يعرضه rss.widget.php | نص strip_tags؛ href الرابط الدائم الخام | السلامة: مُثبَت مختبريًا: بقايا onerror في النص ورابط دائم javascript: مع الشاهد. العنوان مُرمَّز. |
| نفس البقايا | نفس النقطة | الاستطلاع: مُستنتَج: XSS في لوحة التحكم بصفة المستخدم المسجَّل دخوله. |
| نفس البقايا | نفس النقطة | التوافر: لا شيء مُبيَّن. |
يتطلب: page-all / dashboard widgets. حماية CSRF-magic على POST ما لم يُذكر خلاف ذلك. WebGUI PHP-FPM يعمل بصلاحية root.
يتطلب: page-all / dashboard widgets. حماية CSRF-magic على POST ما لم يُذكر خلاف ذلك. WebGUI PHP-FPM يعمل بصلاحية root. حماية CSRF-magic على POST ما لم يُذكر خلاف ذلك. WebGUI PHP-FPM يعمل بصلاحية root.
ترميز العنوان في 26_04.
لا يوجد Diagnostics: Command ما لم تُمنح تلك الصفحة أيضًا.
cd lab
./run.sh
الواجهة الراجعة 127.0.0.1:19150. مشروع Compose باسم pfsense-rss-body-xss. الشاهد PFSENSE-RSS-BODY-XSS-WITNESS. الواجهة الراجعة فقط: 127.0.0.1:19150. مشروع Compose باسم pfsense-rss-body-xss. الشاهد PFSENSE-RSS-BODY-XSS-WITNESS. أداة PHP للأسطر المثبَّتة. تُفكَّك الحزمة بعد التشغيل.
السطر الأخير:
SUCCESS PFSENSE-RSS-BODY-XSS title-encoded=yes body-onerror=yes permalink-javascript=yes PFSENSE-RSS-BODY-XSS-WITNESS
htmlspecialchars على نص المحتوى. قائمة سماح للرابط الدائم تقتصر على http(s).
9363ac5b8651a1c7a333180425ce7719070f95f9