Beschreibung

Die offiziellen VaahCMS-Pakete (Versionen 2.0.0 bis 2.3.4, die über die Releases des Herstellers verteilt werden) enthalten eine obfuskierte, bösartige JavaScript-Payload, die in der Blade-Vorlage für Sicherheits- / OTP-E-Mails eingebettet ist.

Da die Payload in legitimen Releases ausgeliefert wird, liefert jede Installation, die eine betroffene Version einspielt, ihren Nutzern stillschweigend vom Angreifer kontrollierten clientseitigen Code aus — eher eine Kompromittierung der Lieferkette als ein durch externe Eingaben ausgelöster Fehler.

Bösartiges Verhalten

Sobald sie im Browser eines Opfers gerendert wird, führt die deobfuskierte Payload Folgendes aus:

• Stellt eine WebSocket-Verbindung zu einem Command-and-Control-Server (C2) her und verschafft dem Betreiber einen Live-Kanal in die Seite.
• Setzt Tastaturprotokollierung (Keylogging) auf Passwortfeldern ein, indem sie das DOM mit einem MutationObserver überwacht und neu eingefügte Eingabefelder abfängt.
• Extrahiert Sitzungsdaten von WhatsApp Web aus dem Browser-Kontext des Opfers.
• Akzeptiert Remote-Befehle, um die gerenderte Seite zu manipulieren (Inhalte einschleusen, weiterleiten, das DOM nach Bedarf verändern).

Betroffene Komponente

• Fundort: Blade-Vorlage für Sicherheits-OTP-E-Mails
• Grundursache: bösartiges, obfuskiertes JavaScript, das in die offiziellen Quell- / Release-Artefakte eingecheckt wurde (eingebettete Hintertür)

Proof of Concept

⚠️ Nur für defensive / analytische Zwecke. Dieses Advisory wird nach der Behebung und öffentlichen Offenlegung des Problems veröffentlicht. Setzen Sie die Payload nicht ein und richten Sie sie nicht auf eine C2-Infrastruktur.

Identifizieren der Payload (sichere Reproduktion)

1. Besorgen Sie sich ein betroffenes Release (VaahCMS 2.0.0–2.3.4) in einer isolierten VM.
2. Lokalisieren Sie die Blade-Vorlage für OTP- / Sicherheits-E-Mails.
3. Beobachten Sie den obfuskierten <script>-Block, der nicht zur legitimen Vorlagenlogik gehört.
4. Deobfuskieren Sie die Payload statisch (ohne Ausführung), um die WebSocket-C2-Einrichtung, den MutationObserver-Keylogger und die WhatsApp-Web-Exfiltration-Logik aufzudecken.
5. Bestätigen Sie in einer Browser-Sandbox mit Netzwerküberwachung das ausgehende WebSocket-Beacon an den hartkodierten C2-Endpunkt.

Siehe poc/ für ein Hilfsmittel zur statischen Analyse / Erkennung (keine aktive Payload).

Auswirkungen

Ein Angreifer, der den C2-Endpunkt kontrolliert, kann für jeden Nutzer, der die betroffene Vorlage rendert:

• Anmeldedaten stehlen, die in Passwortfelder eingegeben werden (Keylogging).
• Authentifizierte Sitzungen übernehmen (einschließlich WhatsApp-Web-Daten).
• Seiteninhalte und -verhalten in Echtzeit remote manipulieren.

Behebung

• Aktualisieren Sie auf ein behobenes VaahCMS-Release (nach 2.3.4), das die Payload entfernt.
• Überprüfen Sie bestehende Installationen auf das bösartige <script> in der OTP-E-Mail-Vorlage.
• Prüfen Sie ausgehende WebSocket-Verbindungen aus Mail-Rendering- / Admin-Kontexten.
• Rotieren Sie alle Anmeldedaten, die möglicherweise offengelegt wurden, während eine betroffene Version aktiv war.

Zeitplan der Offenlegung

Referenzen

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-67595
• Positive-Technologies-Advisory (PT-2026-65916): https://dbugs.ptsecurity.com/researchers/Ilhomjon%20Rustamov
• Hersteller: VaahCMS — https://vaah.dev

Danksagung

Entdeckt und gemeldet von Ilhomjon Rustamov · HackTheBox · [email protected]

Haftungsausschluss

Nur zu Bildungs- und Verteidigungszwecken veröffentlicht, nachdem die Schwachstelle behoben und öffentlich offengelegt wurde. Verwenden Sie dieses Material nicht gegen Systeme, deren Test Sie nicht autorisiert sind.