Netbox-CVE-2023-37625

الوصف

ثغرة تخزين للبرمجة النصية عبر المواقع (XSS) في Netbox < 3.4.7 تسمح للمهاجمين بتنفيذ نصوص ويب أو HTML تعسفية عبر حمولة مصممة تُحقن في قوالب الروابط المخصصة.

التفاصيل الفنية

تم اكتشاف ثغرة تخزين للبرمجة النصية عبر المواقع (XSS) في وظيفة الرابط المخصص لتطبيق الويب. ترجع هذه الثغرة إلى عدم كفاية تنقية حقل رابط URL.

لتكرار هذه الثغرة، يمكن تنفيذ الخطوات التالية:

1. انتقل إلى الروابط المخصصة تحت علامة التبويب أخرى (Other).
2. أنشئ رابطًا مخصصًا بقيمة رابط URL التالية، وخصص الرابط لنموذج. في هذا المثال تم اختيار 'الشركة المصنعة' (manufacturer):

{{'test1"</a><script>alert(1)</script>'}}

3. أضف نموذجًا جديدًا، في هذا المثال أضف نموذج 'الشركة المصنعة' (manufacturer).

4. افتح النموذج المنشأ حديثًا كأي مستخدم مصادق، ولاحظ أن مربع التنبيه قد نُفذ.