CVE-2024-40492: Gespeichertes XSS zu ATO

Beschreibung

Stored Cross-Site Scripting (XSS) ist eine Art von Sicherheitslücke, die typischerweise in Webanwendungen vorkommt. Sie tritt auf, wenn ein Angreifer bösartige Skripte in eine Webanwendung injizieren kann und diese Skripte auf dem Server gespeichert werden. Wenn andere Benutzer auf die Daten zugreifen, die das bösartige Skript enthalten, wird das Skript in ihren Browsern ausgeführt.

Schritte zur Reproduktion

1. Gehe zu https://app.heartbeat.chat/
2. Erstelle ein Konto mit den folgenden Angaben:
   • Vorname:
     root@kitploit:~

     giongfnef"><h1>test</h1>">
     

   • Nachname:
     root@kitploit:~

     giongfnef">
     

3. Gehe zu „Threads“ und suche dann nach dem Vornamen giongfnef -> XSS wird ausgelöst -> dies ist gespeichertes XSS, das zu einer Account-Übernahme führen kann

POC

Link POC zur Reproduktion des Exploits

Auswirkungen

Nach Auslösung des XSS kann ich eine Account-Übernahme durchführen. Da es sich um gespeichertes XSS handelt, löst jeder Benutzer, der den Benutzerbereich aufruft oder nach dem Benutzer giongfnef sucht, das XSS aus und seine Sitzung wird gestohlen.

Gegenmaßnahmen

Um Stored-XSS-Schwachstellen zu verhindern, befolge diese bewährten Methoden:

• Eingabevalidierung: Validiere und bereinige alle Benutzereingaben serverseitig.
• Ausgabekodierung: Kodiere Daten, bevor sie im Browser angezeigt werden, um die Ausführung injizierter Skripte zu verhindern.
• Sicherheitsbibliotheken verwenden: Verwende Bibliotheken und Frameworks, die automatisch Eingabebereinigung und Ausgabekodierung übernehmen.
• Content Security Policy (CSP): Implementiere CSP-Header, um die Quellen einzuschränken, von denen Skripte geladen werden können.

Danke fürs Lesen, einen schönen Tag noch!