MAL-012: البرمجة النصية عبر المواقع المنعكسة في وحدة التحكم الإدارية تؤدي إلى تنفيذ التعليمات البرمجية عن بُعد في خادم Payara

تم العثور على هجوم برمجة نصية عبر المواقع (XSS) منعكس في وحدة التحكم الإدارية في خادم Payara. عبر إقناع مستخدم إداري بفتح الرابط الضار والنقر على زر “Choose File”، يمكن للمهاجم تشغيل كود JavaScript عشوائي، وانتحال شخصية المستخدم واستغلال الوظائف الإدارية لأغراض ضارة.

نظرًا لأن ثغرة XSS موجودة في وحدة التحكم الإدارية في خادم Payara، يمكن للمهاجم استخدامها لتنفيذ طلبات عشوائية تستغل الميزات الإدارية (مثل سلاسل اتصال H2، ونشر تطبيقات الويب، وغيرها) من أجل الحصول على تنفيذ التعليمات البرمجية عن بُعد (RCE).

لماذا لا يوجد CVE؟

لم أكلّف نفسي عناء طلب CVE لثغرة XSS منعكسة من عام 2022، ولكن نظرًا لتعلقي الشديد بنص JavaScript القائم على "fetch" غير المتزامن المؤدي إلى RCE وخدعة HTML " target="_blank" "، فقد قررت نشر هذا التقرير. أتمنى أن تجدوه مفيدًا أو مسليًا.

المتطلبات:

تتطلب هذه الثغرة:

• إقناع مستخدم إداري شرعي في خادم Payara بالوصول إلى الرابط الضار والنقر على زر "Choose File"

إثبات المفهوم:

يمكن العثور على مزيد من التفاصيل وعملية الاستغلال في هذا PDF.

الجدول الزمني:

• تم الإبلاغ عن ثغرة H2 RCE إلى [email protected] في 22-Mar-2022
• اعتُبرت ثغرة RCE غير مهمة لأنها تحدث بعد المصادقة في وحدة التحكم الإدارية التي تحتوي على وظائف أساسية أخرى مثل نشر ملفات WAR
• عثرت على ثغرة XSS المنعكسة في وحدة التحكم الإدارية التي يمكن استغلالها لتنفيذ RCE وأبلغت عنها في 25-Mar-2022
• أرسلت آخر بريد إلكتروني في 01-Apr-2022، ولم يصل أي رد منذ ذلك الحين
• تم الكشف عن الثغرة علنًا في 13-Apr-2025