CVE-2023-34845

إثبات الاختراق (POC) للثغرة CVE-2023-34845

الثغرة

اكتشفت ثغرة برمجة نصية عبر المواقع (XSS) في صفحة إنشاء المحتوى الجديد http://localhost:800/admin/new-content حيث يتم تنفيذ السكربت في سياق المستخدم، مما يسمح للمهاجم بالوصول إلى أي ملفات تعريف ارتباط (cookies) أو رموز جلسات (session tokens) يحتفظ بها المتصفح. تُعد XSS المخزّنة، والمعروفة أيضًا باسم XSS الدائمة، أكثر ضررًا من XSS غير الدائمة. وتحدث عندما يتم حقن سكربت خبيث مباشرة في تطبيق ويب قابل للاستغلال.

خطوات إعادة إنتاج المشكلة

• تسجيل الدخول إلى الحساب

• النقر على المحتوى الجديد كما في الصورة

• النقر على زر الصور

• تحديد ملف الـ SVG الحامل للحمولة، والذي تم حقنه بحمولة XSS أو حمولة SSRF

• إدراج الصفحة وحفظها
• نسخ رابط الصورة وفتحه في تبويب جديد