Hacking-, PenTest- und Cybersicherheits-Tools für Ihr Sicherheitsarsenal!
CVE-2025-60378 — Proof of Concept für gespeicherte HTML-Injektion in RISE CRM, das zeigt, wie authentifizierte Benutzer bösartiges HTML in Rechnungen und Nachrichten injizieren können, was zu Phishing und Malware-Verteilung über automatisierte E-Mails und PDFs führt. | Kitploit
Proof of Concept für gespeicherte HTML-Injektion in RISE CRM, das zeigt, wie authentifizierte Benutzer bösartiges HTML in Rechnungen und Nachrichten injizieren können, was zu Phishing und Malware-Verteilung über automatisierte E-Mails und PDFs führt.
CVE-2025-60378: Gespeicherte HTML-Injection in RISE Ultimate Project Manager & CRM
⚠️ Sicherheitshinweis
Eine kritische Schwachstelle für gespeicherte HTML-Injection, die Rechnungen, Nachrichten und automatisierte Kommunikation betrifft
📋 Übersicht
Eine kritische Schwachstelle für gespeicherte HTML-Injection wurde in RISE Ultimate Project Manager & CRM entdeckt, die es authentifizierten Benutzern ermöglicht, bösartiges HTML in Rechnungspositionen, Kundennotizen und Nachrichtenmodule einzuschleusen. Dieser injizierte Inhalt wird in der Datenbank gespeichert und automatisch in kundenorientierten E-Mails, PDFs und Chat-Kommunikation gerendert, was groß angelegte Phishing-Angriffe, Business-E-Mail-Kompromittierung und die Verbreitung von Malware über E-Mail/PDF ermöglicht.
RISE CRM bereinigt und kodiert HTML-Inhalte in mehreren benutzerbearbeitbaren Feldern, einschließlich Rechnungen, Nachrichten und Kundennotizen, nicht ordnungsgemäß. Wenn authentifizierte Benutzer HTML-Payloads in diese Felder einschleusen, wird der Inhalt ohne ausreichende Filterung in der Datenbank gespeichert. Anschließend wird dieses bösartige HTML automatisch in kundenorientierten E-Mails, PDF-Anhängen und Nachrichten-/Chat-Modulen ohne ordnungsgemäßes Escaping gerendert. Wiederkehrende Rechnungen und automatisierte Nachrichten verstärken den Angriff, indem sie bösartige Inhalte gleichzeitig an mehrere Empfänger verteilen.
❌ Unzureichende Eingabebereinigung bei Rechnungs-, Nachrichten- und Kundennotizfeldern
❌ Fehlende HTML-Ausgabekodierung in E-Mail-Vorlagen und PDF-Erstellung
❌ Keine Inhaltsvalidierung vor der Speicherung in der Datenbank
❌ Fehlende Einschränkungen für HTML/JavaScript in der Kundenkommunikation
❌ Automatisierte Systeme verteilen unvalidierte Inhalte ohne zusätzliche Filterung
💥 Auswirkungen
Sicherheitsimplikationen
🎣 Groß angelegtes Phishing: Injizierte Inhalte können legitime Kommunikation imitieren und mehrere Kunden auf vom Angreifer kontrollierte Websites umleiten
💼 Business-E-Mail-Kompromittierung: Bösartige Rechnungen und Nachrichten, die an Kunden gesendet werden, scheinen von einer vertrauenswürdigen Quelle zu stammen
💬 Kompromittierte Nachrichten: Bösartige Payloads im Chat/Nachrichten erreichen Teammitglieder und Kunden direkt
🦠 Malware-Verbreitung: Eingebettete bösartige Links oder iframes liefern Malware über E-Mail/PDF/Nachrichten
🔄 Automatisierte Angriffsverteilung: Wiederkehrende Rechnungen und automatisierte Nachrichten stellen sicher, dass die Payload mehrere Empfänger ohne manuelles Eingreifen erreicht
👥 Multi-Vektor-Angriff: Die Kombination aus E-Mail-, PDF- und Nachrichten-Angriffsflächen erhöht die Erfolgsrate der Kompromittierung
Bewertung der CIA-Triade
Faktor
Auswirkung
Erklärung
Vertraulichkeit
🔴 HOCH
Kundenanmeldedaten und sensible Daten können über Phishing erbeutet werden
Integrität
🔴 HOCH
Bösartige Inhalte können die Wahrnehmung von Kommunikation und Geschäftsbeziehungen verändern
Verfügbarkeit
🟡 NIEDRIG
Begrenzte direkte Auswirkung auf die Systemverfügbarkeit
Reale Angriffsszenarien
Szenario 1: Rechnungsbasiertes Phishing
Ein Angreifer mit Projektmanager-Zugriff mit niedrigen Berechtigungen erstellt eine Rechnung mit bösartigem HTML:
root@kitploit:~
<a href="https://attacker.com/fake-payment">Click here to view payment status</a>
Die Rechnung wird über automatisierte E-Mail an 100+ Kunden gesendet. Alle Kunden erhalten eine scheinbar legitime Rechnung, die sie auf eine Phishing-Website führt. Der Angreifer erbeutet gleichzeitig Anmeldedaten von mehreren Opfern.
Szenario 2: Angriff über Nachrichten
Ein Angreifer schleust bösartiges HTML in eine Kundennachricht ein:
Alle Teammitglieder und Kunden erhalten die Nachricht in ihrem Chat und klicken auf Links, um Malware herunterzuladen.
Szenario 3: Malware-Zustellung über wiederkehrende Rechnungen
Ein Angreifer richtet eine wiederkehrende Rechnung mit einer Malware-Zustellungs-Payload ein. Jeden Monat erhalten Kunden automatisch Rechnungen mit eingebetteten bösartigen Inhalten, was einen persistenten Angriffsvektor darstellt.
🧪 Proof of Concept
Umgebungseinrichtung
Zugriff auf das RISE-CRM-Adminpanel mit Berechtigungen zur Rechnungs-/Nachrichtenerstellung
Jede Version vor 3.9.4
PoC-Schritte
Schritt 1: Zugriff auf Rechnungs- oder Nachrichtenerstellung
root@kitploit:~
Navigieren zu: RISE CRM Dashboard → Rechnungen/Nachrichten → Neu erstellen
Schritt 2: HTML-Payload in das Beschreibungs-/Nachrichtenfeld einschleusen
root@kitploit:~
<a href="https://attacker.com">Click here to view invoice</a>
Schritt 3: Bösartiges Bild mit Weiterleitung hinzufügen
Das System sendet automatisch an alle relevanten Kunden
Schritt 6: Angriffsvektor verifizieren
Kunden-E-Mail-Postfach prüfen
Kunden-Nachrichten/Chat prüfen
PDF-Anhang öffnen
Beobachten, dass bösartiges HTML in allen Kanälen gerendert wird
Erwartetes Ergebnis
✅ Injiziertes HTML wird in E-Mails, PDFs und Nachrichten ohne Escaping gerendert
✅ Links sind klickbar und leiten auf Angreifer-Websites weiter
✅ Bilder werden von vom Angreifer kontrollierten Servern geladen
✅ Inhalte bleiben über alle zukünftigen Kundenkommunikationen hinweg bestehen
✅ Wiederkehrende Verteilung erreicht automatisch mehrere Empfänger
🛡️ Abhilfemaßnahmen
Für Endbenutzer
✅ Sofort aktualisieren: Update auf RISE CRM v3.9.4 oder höher durchführen
🔍 Alle Datensätze prüfen: Kürzliche Rechnungen, Nachrichten und Kundennotizen auf verdächtige HTML-Inhalte überprüfen
⚠️ Kunden benachrichtigen: Alle Kunden warnen, wenn verdächtige Rechnungen oder Nachrichten gesendet wurden
🔄 Anmeldedaten zurücksetzen: Kunden empfehlen, Passwörter zu ändern, wenn sie auf Links geklickt haben
📝 Aktivität überwachen: Audit-Logs auf unbefugte Rechnungs-/Nachrichtenänderungen prüfen
🔐 Wiederkehrende deaktivieren: Wiederkehrende Rechnungen/Nachrichten vorübergehend deaktivieren, bis der Patch installiert ist
ajansha/cve-2025-60378
-ff6600){kind=icon}
