CVE-2021-43032

في XenForo ≤ 2.2.7، يمكن للمهاجم الذي لديه إمكانية الوصول إلى لوحة الإدارة حفظ حمولات البرمجة النصية عبر المواقع (XSS) في أي وظيفة داخل التطبيق تقبل كود HTML. الحمولة الموضوعة ضمن وظيفة 'الإعلانات' ستنفذ عالميًا على جانب العميل، مما يسمح بعدة سيناريوهات استغلال، بينما ستنفذ الحمولات الأخرى على جانب العميل اعتمادًا على مكان تخزينها.

Credits: John Jackson @johnjhacking & Jackson Henry @JacksonHHax

خطوات التكرار

1. تسجيل الدخول إلى لوحة الإدارة الموجودة في /admin.php
2. إنشاء إعلان جديد وتخزين الحمولة <script>alert(1)</script> داخل نص HTML.
3. انتقل إلى جانب العميل وسترى نافذة التنبيه المنبثقة عالميًا عبر التطبيق.
4. يمكنك تخزين نصوص برمجية ستنفذ في أجزاء مختلفة من التطبيق. كمثال آخر، إليك عملية تخزين نص برمجي خبيث في وظيفة العقدة (node).
5. الذهاب إلى جانب العميل والتنقل إلى العقدة المعينة يؤدي إلى التنفيذ.

الأثر

أكبر خطر من هذه الثغرة هو قيام مستخدم سيء النية بتنفيذ إجراءات خفية مضمنة في صفحات HTML واسعة، مثل تعدين العملات الرقمية أو استخراج البيانات. قد يكون هذا مستخدمًا لديه وصول مسبق إلى التطبيق، أو مهاجمًا يحصل على بيانات الاعتماد عبر الاستيلاء على الحساب أو منهجية الهندسة الاجتماعية.