Cross Site Scripting في Bootbox.js الإصدارات 3.2 حتى 6.0 تسمح لمهاجم عن بُعد بحقن كود HTML وتنفيذ JavaScript تعسفي.

الملخص

البائع: BootBox

المنتج: bootbox.js

الإصدارات المتأثرة: 3.2 إلى 6.0

الاسم الرمزي: Venga-Que-Si-Es-Pa-Eso

الثغرة

النوع: تحييد غير صحيح للمدخلات أثناء توليد صفحة الويب 'Cross-site Scripting' (CWE-79)

متجه CVSSv3.1: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

الدرجة الأساسية CVSSv3.1: 5.4 (متوسطة)

الاستغلال متاح: نعم

معرّف CVE: CVE-2023-46998

الوصف

الدوال مثل alert() وconfirm() وprompt() لا تعقّم مدخلات المستخدم في مربعات الحوار المقدمة، مما يسمح للمهاجمين بحقن كود HTML وتنفيذ JavaScript تعسفي باستخدام Jquery

إثبات المفهوم

خطوات إعادة الإنتاج

أدخل <script>alert('Hola BB :*')</script> في دالة ضعيفة مثل prompt. الكود القابل للاستغلال متاح هنا: https://jsfiddle.net/93sk1zeh/2/

الاستغلال

<script>alert('Hola BB :*')</script>

التخفيف

قم بتعقيم المدخلات قبل إضافتها إلى عنصر DOM باستخدام jquery

المراجع

https://github.com/bootboxjs/bootbox/issues/661

الخط الزمني

2018-05-28: تم إبلاغ البائع بالثغرة.

2023-10-01: تم تعيين معرّف CVE.