CVE-2024-39031 : ثغرة XSS مخزنة في Silverpeas Core في Mes agendas

معلومات

الوصف: في Mes Agendas، يمكن للمستخدم إنشاء أحداث جديدة وإضافتها إلى تقويمه. بالإضافة إلى ذلك، يمكن للمستخدمين دعوة آخرين من نفس المجال، بما في ذلك المسؤولين، إلى هذه الأحداث. يمكن لمستخدم عادي حقن حمولة XSS في حقلي "Titre" و"Description" عند إنشاء حدث، ثم إضافة المسؤول أو أي مستخدم إلى الحدث. عندما يعرض المستخدم المدعو (الضحية) ملفه الشخصي، سيتم تنفيذ الحمولة على جانبه، حتى لو لم ينقر على الحدث.

الإصدارات المتأثرة: <= 6.3.5

الإصدار المُصلَح: 6.3.5

الباحث: Tonee Marqus مع Phronesis Security (https://www.phronesissecurity.com/)

الإصلاح المطبق: https://github.com/Silverpeas/Silverpeas-Core/pull/1346

روابط ذات صلة:

• https://security.snyk.io/vuln/SNYK-JAVA-ORGSILVERPEASCORE-7443649
• https://avd.aquasec.com/nvd/2024/cve-2024-39031/
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-39031
• https://nvd.nist.gov/vuln/detail/CVE-2024-39031

إثبات المفهوم

الخطوة 1

سجّل الدخول كأي مستخدم وأنشئ حدثًا جديدًا (agenda) في mes agendas. داخل حقلي "Titre" و"Description" ضع حمولات XSS التالية:

<script>alert("XSS-Titre")</script>

و

<script>alert("XSS-Description")</script>

الخطوة 2

أضف مستخدمًا آخر كمشارك، على سبيل المثال، تمت إضافة مسؤول هنا. احفظ الحدث:

الخطوة 3

سجّل الدخول إلى حساب المسؤول وانقر على زر المسؤول في أعلى اليسار للدخول إلى ملف المسؤول، وبمجرد النقر، ستظهر رسالة تنبيه XSS الخاصة بـ "Titre". إذا نقرت على OK، ستظهر حمولة XSS الأخرى أيضًا لـ "description".

بالإضافة إلى ذلك، يمكن تشغيل حمولة XSS في أماكن أخرى عديدة، على سبيل المثال عند النقر على الحدث من التقويم: أو من Mon profile → Mur أخيرًا، من Fil d'informations: