CVE-2024-30956

cf https://www.lauyan.com/en/toweb-updates.html#iyFEw37D

ثغرة حقن HTML (XSS قائمة على DOM) في إصدار TOWeb 5 <= 12.05 تسمح للمهاجم بحقن كود HTML/JS عبر مكون _message.html.

شرح

• ملف _message.html يُستخدم لعرض صفحة خطأ، عن طريق فك تشفير وتنفيذ الشيفرة الواقعة بعد علامة ?.
• الشيفرة هي كود HTML، مشفر بـ base64، ثم معكوس (بالنسبة لموقع إنجليزي، ستكون صفحة الخطأ 127.0.0.1:8000/_message.html?==gP2lGZvwjP2lGZvwjPyJGP+InY84DcvwDZuV3bGBCdv5EIldWYQ5Dc84jMo9CPg4jMoxjPiEmchBXL3RnI9M3chx2YgYXakxjPxg2L8IXdlJncF5TMoxjPiIXZ05WZjpjbnlGbh1Cd4VGdi0TZslHdzBidpRGP).
• بما أن هذا كود HTML، يمكننا إضافة كود جافا سكريبت داخله، والذي سيتم تنفيذه عند انتقال المستخدم إلى الرابط.

التأثير

• على سبيل المثال، يمكن استخدام XSS مع الهندسة الاجتماعية لسرقة بيانات اعتماد المستخدم أو خداعه لتحميل برمجية ضارة، باستغلال ثقة المستخدم في الشركة ضده.
• cf https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/XSS%20Injection#exploit-code-or-poc

التخفيف

• تم إصلاح هذه الثغرة في الإصدار 12.06

الاستغلال

• python3 poc.py; python3 -m http.server -d src -> مثلاً http://127.0.0.1:8000/_message.html?==gC+QHcpJ3Yz9CPpcyUThFIkV2chJWLN9ERngCdyVGbh5DdwlmcjNHP
• انتقل إلى الرابط، سيتم تنفيذ كود JS
• ملاحظة: يحتوي src على نسخة من كود HTML/JS ذي الصلة، لأن TOWeb مغلق المصدر ولا يسمح بتحميل إصدار أقدم دون دفع.