CVE-2021-43032

In XenForo ≤ 2.2.7 kann ein Angreifer mit Zugriff auf das Admin-Panel Cross-Site-Scripting-Payloads in jeder Funktion der Anwendung speichern, die HTML-Code akzeptiert. Ein Payload, der in der 'Advertising'-Funktionalität platziert wird, wird clientseitig global ausgeführt, was mehrere Angriffsszenarien ermöglicht, während andere Payloads clientseitig ausgeführt werden, je nachdem, wo sie gespeichert wurden.

Credits: John Jackson @johnjhacking & Jackson Henry @JacksonHHax

Schritte zur Reproduktion

1. Melden Sie sich im Admin-Panel unter /admin.php an
2. Erstellen Sie eine neue Anzeige und speichern Sie den Payload im HTML-Body.
3. Navigieren Sie zur Clientseite, und Sie sehen den Alert-Popup in der gesamten Anwendung.
4. Sie können Skripte speichern, die in verschiedenen Teilen der Anwendung ausgeführt werden. Als weiteres Beispiel hier der Prozess des Speicherns eines bösartigen Skripts in der Knoten-Funktionalität.
5. Wenn Sie zur Clientseite gehen und zu dem entsprechenden Knoten navigieren, führt dies zur Ausführung.

Auswirkungen

Das größte Risiko dieser Schwachstelle wäre ein böswilliger Benutzer, der versteckte Aktionen in umfangreichen HTML-Seiten ausführt, wie z.B. Kryptowährungs-Mining oder Datendiebstahl. Dies könnte ein Benutzer mit bereits bestehendem Zugriff auf die Anwendung sein oder ein Angreifer, der Anmeldedaten durch Account-Übernahme oder Social-Engineering-Methoden erlangt.