CVE-2023-25292

ثغرة برمجة نصية عبر المواقع المنعكسة (Reflected Cross Site Scripting) في تطبيق Intermesh BV Group-Office الإصدار 6.6.145، تسمح للمهاجمين بالحصول على صلاحيات مرتفعة والوصول إلى معلومات حساسة عبر ملف تعريف الارتباط GO_LANGUAGE

تفاصيل الثغرة

• المنتج: Group Office Application
• الإصدار: 6.6.145
• نوع الثغرة: Reflected XSS
• الخطورة: متوسطة
• درجة CVSS v3.1: 6.1 (AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N)

وصف الثغرة

التطبيق معرّض لهجوم XSS منعكس عبر ملف تعريف الارتباط “GO_LANGUAGE” الذي يحقن JavaScript خبيثة في استجابة التطبيق. يتم تنفيذ النص البرمجي الخبيث في سياق الموقع المتأثر، مما يسمح للمهاجم بسرقة معلومات حساسة مثل ملفات تعريف ارتباط الجلسة والمعلومات الشخصية وغيرها. توجد الثغرة في ملف تعريف الارتباط الخاص بتطبيق Group Office. من خلال إرسال ملف تعريف ارتباط مصمم بعناية إلى الخادم، يمكن للمهاجم حقن كود JavaScript خبيث في الاستجابة، والذي يتم تنفيذه بعد ذلك في سياق الموقع المتأثر. يمكن أن يؤدي ذلك إلى سرقة معلومات حساسة من متصفح المستخدم، مثل ملفات تعريف ارتباط الجلسة والمعلومات الشخصية.

التأثير

تسمح هذه الثغرة للمهاجم بسرقة معلومات حساسة من الموقع المتأثر ومستخدميه، مثل ملفات تعريف ارتباط الجلسة والمعلومات الشخصية وغير ذلك. يمكن للمهاجم أيضًا استغلال هذه الثغرة لحقن المزيد من الأكواد الخبيثة في الموقع المتأثر، مما يعرض وظائفه للخطر وربما يكشف معلومات حساسة.

المعالجة المقترحة للبائع

• تصفية بيانات الإدخال لمنع تضمين الحمولات الخبيثة في الاستجابة.
• استخدام سياسة أمان المحتوى (CSP) لتقييد تنفيذ JavaScript غير الموثوق به في الاستجابة.
• إفلات (escape) أو ترميز جميع مدخلات المستخدم قبل تضمينها في الاستجابة.

المعالجة للمستخدم النهائي

• قم بالترقية إلى الإصدار 6.6.147 من تطبيق Group Office.

خطوات إعادة الإنتاج

1. انتقل إلى النسخة المصابة من group-office.
2. غيّر ملف تعريف الارتباط “GO_LANGUAGE” باستخدام F12 إلى الحمولة التالية:

ar'"()&%<zzz><ScRiPt>alert(911)</ScRiPt>

3. أعد تحميل الصفحة وسترى بعد ذلك أن الحمولة قد نُفذت.

المراجع

• https://github.com/Intermesh/groupoffice/blob/master/CHANGELOG.md
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-25292