CVE-2021-45416

Vulnerabilidad de Cross-site scripting (XSS) reflejado en RosarioSIS 8.2.1 permite a los atacantes inyectar HTML arbitrario a través del parámetro search_term en el script modules/Scheduling/Courses.php.

• Proveedor: francoisjacquet
• Sitio web del proveedor: https://www.rosariosis.org/
• Producto afectado: RosarioSIS
• Versiones afectadas: v8.2.1, sin embargo, se asume que versiones anteriores también podrían estar afectadas

---

Instrucciones para reproducir:

• Usar RosarioSIS 8.2.1.
• Abrir la URL vulnerable a XSS: http://localhost/rosariosis/Modules.php?modname=misc/ChooseCourse.php&modfunc=choose_course&course_modfunc=search&last_year=&search_term=%22%20onfocus%3D%22alert%28%60XSS%60%29 (asegúrate de reemplazar localhost/rosariosis con la ruta de tu servidor web)
• Ten en cuenta que este sitio web debe abrirse en una ventana emergente, por ejemplo, usando el método javascript window.open(). Un código de prueba de concepto está disponible en este repositorio.

Causa

La entrada proporcionada por el usuario en el parámetro search_term no se neutraliza adecuadamente en el script modules/Scheduling/Courses.php, que es accesible a través de ChooseCourse.php y ChooseRequest.php como se muestra en la prueba de concepto que puedes encontrar en este repositorio.

Solución

Actualizar a la última versión de RosarioSIS. Este problema se corrigió en la versión v8.3.

Referencias

• Video de YouTube que muestra la prueba de concepto: https://www.youtube.com/watch?v=PvFUxSGpWpY
• Commit que contiene la corrección: https://gitlab.com/francoisjacquet/rosariosis/-/commit/aec018065ca12ecef03ee454a8112f992ea35315
• Registro de cambios para la versión v8.3: https://gitlab.com/francoisjacquet/rosariosis/blob/mobile/CHANGES.md#changes-in-83

---

Historial (en el formato dd.mm.aaaa)

• 01.02.2022 - CVE publicado por MITRE
• 27.01.2022 - Se asignó el CVE y se marcó como reservado
• 17.12.2021 - Se solicitó el CVE a través del formulario web de MITRE
• 22.10.2021 - El proveedor publicó una nueva versión que contiene la corrección (v8.3)
• 20.10.2021 - Se recibió respuesta del proveedor, junto con un enlace a un nuevo commit que corrige el problema y el anuncio de que una nueva versión con la corrección se publicaría esa misma semana. El proveedor pidió esperar dos meses después de esa publicación antes de la divulgación pública.
• 20.10.2021 - Informe inicial al proveedor
• 20.10.2021 - Descubrimiento de la vulnerabilidad