CVE-2025-52204 – Reflected XSS / HTML-Injection im customer.pl-Endpunkt von Znuny

Zusammenfassung

In Znuny existiert eine Schwachstelle für Reflected Cross-Site Scripting (XSS) und HTML-Injection, die es Angreifern ermöglicht, beliebiges JavaScript oder HTML über den Parameter einzuschleusen, der durch die Systemkonfiguration CustomerPanelSessionName im customer.pl-Endpunkt definiert wird.

Klassifizierung

• CVE: CVE-2025-52204
• CWE: CWE-79 – Fehlerhafte Neutralisierung von Eingaben bei der Generierung von Webseiten ('Cross-site Scripting')
• CVSS v3.1 (Bewertung des Forschers): 6.1 Mittel
• CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
• Öffentlicher CVE-Eintrag: CVE-2025-52204

Auswirkungen

Eine erfolgreiche Ausnutzung kann es einem nicht authentifizierten Remote-Angreifer ermöglichen:

• beliebiges HTML oder JavaScript in die Antwort einzuschleusen
• die kundenseitige Anmeldeoberfläche zu manipulieren
• irreführende oder Phishing-ähnliche Inhalte anzuzeigen
• Benutzer auf vom Angreifer kontrollierte Ressourcen umzuleiten
• Skripte im Browser des Opfers im Kontext der betroffenen Anwendung auszuführen

Angriffsvoraussetzungen

• Keine Authentifizierung erforderlich
• Remote-Ausnutzung über einen präparierten GET-Request
• Zugriff auf die öffentliche kundenseitige Schnittstelle

Betroffene / Beobachtete Versionen

In kontrollierten Tests bestätigt

• Znuny LTS: 6.5.10
• Znuny: 7.1.3

Während realer Forschung beobachtet

Das Problem wurde auch während der Forschung an öffentlich exponierten realen Instanzen beobachtet, die folgende Versionen ausführen:

• Znuny LTS : 6.5.9 - 6.5.18
• Znuny 7.0.11 - 7.2.3

Um eine unnötige Offenlegung von Drittsystemen zu vermeiden, werden spezifische Ziele, URLs und Validierungs-Screenshots dieser Instanzen in diesem öffentlichen Repository bewusst weggelassen.

Beobachtete betroffene Pfade

Während Tests und Forschung wurden die folgenden Request-Muster beobachtet:

• 6.5.9 - 6.5.18: /otrs/customer.pl?OTRSCustomerInterface=$PAYLOAD
• 7.0.11 - 7.2.3: /znuny/customer.pl?OTRSCustomerInterface=$PAYLOAD

Dies sind beobachtete Request-Muster und können je nach Produktzweig und Installationslayout variieren.

Die betroffene Eingabe ist diejenige, die durch die Systemkonfiguration CustomerPanelSessionName definiert wird. In beobachteten Bereitstellungen kann diese je nach Systemkonfiguration als OTRSCustomerInterface erscheinen.

Behobene Versionen

Der Hersteller hat dieses Problem in den folgenden Versionen behoben:

• Znuny LTS 6.5.19
• Znuny 7.3.1

Proof of Concept

Reflektierte Payload in kontrollierten Tests

Znuny LTS 6.5.10

Znuny 7.1.3

Gegenmaßnahmen / Workarounds

Administratoren sollten auf die vom Hersteller behobenen Versionen aktualisieren:

• Znuny LTS 6.5.19
• Znuny 7.3.1

Weitere empfehlenswerte Maßnahmen sind:

• die öffentliche Verfügbarkeit der kundenseitigen Schnittstelle zu prüfen
• unnötigen öffentlichen Zugriff einzuschränken, wo dies betrieblich möglich ist
• Anfragen zu überwachen, die auf customer.pl abzielen
• zu prüfen, ob eine Härtung der lokalen Konfiguration die Exposition reduziert, wobei zu beachten ist, dass Konfigurationsänderungen allein möglicherweise keinen vollständigen Produkt-Fix darstellen

Referenzen

• CVE-2025-52204-Eintrag
• Znuny 7.3.1 Release Notes
• Znuny LTS 6.5.19 Release Notes

Hinweis zur Offenlegung

Dieses Repository dokumentiert einen koordinierten Prozess zur Offenlegung von Schwachstellen.
Es enthält bewusst nicht:

• eine Liste öffentlicher Live-Ziele
• Massen-Scan-Daten
• eine Sammlung weaponisierter Payloads
• Anleitungen zur aktiven Ausnutzung

Das Ziel ist es, die technische Genauigkeit zu wahren und gleichzeitig unnötige Risiken für Dritte zu minimieren.