CVE-2021-24807

ثغرة تخزين النصوص البرمجية عبر المواقع (Stored XSS) بعد تسجيل الدخول في Support Board 3.3.4

توجد ثغرة تخزين النصوص البرمجية عبر المواقع (XSS) بعد تسجيل الدخول في Support Board الإصدار 3.3.4 عبر معامل Notes.

يختلف تأثير ثغرات النصوص البرمجية عبر المواقع من تطبيق ويب إلى آخر، إذ يتراوح من اختطاف الجلسات إلى سرقة بيانات الاعتماد وثغرات أمنية أخرى. من خلال استغلال ثغرة XSS، يمكن للمهاجم انتحال شخصية مستخدم شرعي والاستيلاء على حسابه. إذا كان المستخدم الضحية يمتلك صلاحيات إدارية، فقد يؤدي ذلك إلى أضرار جسيمة مثل تعديل الكود أو قواعد البيانات لزيادة إضعاف أمان تطبيق الويب، اعتمادًا على صلاحيات الحساب وتطبيق الويب.

لاستغلال هذه الثغرات، تحتاج إلى صلاحية وصول بمستوى وكيل (Agent) أو مسؤول (Admin).

وظيفة إضافة الملاحظات

لاستغلال هذا المعامل، نحتاج إلى الانتقال إلى الدردشة والضغط على أيقونة + على الجانب الأيمن من الملاحظات وإضافة بعض النص ثم الضغط على Add واعتراض الطلب باستخدام BurpSuite

كما ترى في طلبات Burpsuite، يمكننا رؤية معامل message الذي نحتاج إلى إضافة الحمولة (Payload) بداخله

وإرسال الطلب الآن إذا أعدنا تحميل صفحة الويب، فستظهر ملفات تعريف الارتباط (cookies) تلقائيًا

اقرأ المزيد:
Medium
TIStory