pracharapol/cve-2025-45960
Es wurde festgestellt, dass die Webanwendung vom Benutzer bereitgestellte Eingaben ohne ordnungsgemäße Eingabevalidierung oder Kodierung speichert und anzeigt. Dies führt dazu, dass bösartiger Code auf dem Server gespeichert und später ohne geeignete Bereinigung im Webbrowser des Benutzers gerendert wird. Beispielsweise konnte der Tester bösartiges JavaScript im Live-Chat speichern, das anschließend auf der Website ausgeführt werden kann.
Ermöglicht es Angreifern, bösartigen Code in den Parameter des Systems einzuschleusen und potenziell den Benutzern der Webanwendung zu schaden, wenn diese die Webseite aufrufen, auf der der bösartige Code gespeichert ist. Zum Beispiel Diebstahl sensibler Informationen, Phishing-Angriffe und Schädigung des Markenrufs.
Unsere Tests zeigten, dass dem Chat-Eingabefeld eine ausreichende Eingabevalidierung fehlt, sodass Tester HTML-Tags mit eingebettetem JavaScript-Code einschleusen können. Wenn ein Benutzer ein solches Tag anklickt, wird das eingebettete JavaScript im Browser-Kontext des Benutzers ausgeführt. Dieses Verhalten bestätigt das Vorhandensein einer Stored-Cross-Site-Scripting-Schwachstelle.
Payload: <img src="https://raw.githubusercontent.com/pracharapol/cve-2025-45960/HEAD/x" onclick='alert(document.domain)'>
