1. Der Angreifer meldet sich mit einem gültigen Benutzerkonto an.
2. Der Angreifer erstellt oder bearbeitet einen Job, Kurs oder Batch.
3. Schädliches JavaScript wird in das Beschreibungsfeld eingefügt.
4. Die Nutzlast wird in der Datenbank gespeichert.
5. Jeder Benutzer, der die betroffene Seite öffnet, löst die Nutzlast aus.

Proof of Concept (PoC)

Schritte zur Reproduktion:

1. Melden Sie sich als beliebiger authentifizierter Benutzer an.
2. Navigieren Sie zur Seite zum Erstellen oder Bearbeiten von Job / Kurs / Batch.
3. Fügen Sie die Nutzlast in das Beschreibungsfeld ein.
4. Speichern Sie das Formular.
5. Öffnen Sie den erstellten Job / Kurs / Batch.
6. JavaScript wird im Browser ausgeführt.

Grundursache

• Fehlende oder unzureichende serverseitige HTML-Bereinigung
• Unsicheres Rendern von benutzereingegebenen Daten
• Fehlende Ausgabekodierung in Vorlagen

Behebung / Minderung

Offizielles Patch

• Behoben in Version: 2.42.0

Implementierte Sicherheitsverbesserungen

• Ordnungsgemäße HTML-Bereinigung bei der Eingabe
• Sichere Ausgabekodierung vor dem Rendern
• Einschränkung ausführbarer Tags und Attribute

Empfohlene Best Practices

• Benutzereingaben immer serverseitig bereinigen
• Ausgabekodierung je nach Kontext anwenden (HTML, JS, URL)
• Verwenden Sie einen vertrauenswürdigen HTML-Bereiniger (z. B. DOMPurify)
• Implementieren Sie eine Content Security Policy (CSP)

Zeitplan

• Gemeldet von: Dharan Raghunathan
• Status: Behoben
• Patch-Veröffentlichung: Version 2.42.0

Danksagung

Dieses Problem wurde verantwortungsvoll von Dharan Raghunathan gemeldet.

Referenzen

• OWASP Gespeicherte XSS: https://owasp.org/www-community/attacks/xss/
• CWE-79: Unzureichende Neutralisierung von Eingaben bei der Generierung von Webseiten
• GitHub Advisory: https://github.com/frappe/lms/security/advisories/GHSA-jjc4-j3hw-33h2

Haftungsausschluss

Dieses Dokument dient ausschließlich zu Bildungs- und Abwehrzwecken.