#CVE-2024-41453

#CVE-2024-41454

ProcessMaker Vulnerabilidades (solo para educación): @ryancooley @velkymx @nolanpro @caleeli

• instala ProcessMaker 4 Core Docker Instance desde este repositorio: https://github.com/ProcessMaker/pm4core-docker

• esta es la última versión de pm docker (PM_VERSION=4.1.21), la imagen de abajo es el archivo .env.

XSS Almacenado

1. crea un archivo json con el payload xss. (Subí un archivo de muestra llamado: sample.json)

2.Envía este archivo al usuario administrador del proceso y solicita que importe este archivo como un proceso.

3. cuando el usuario administrador importe este archivo e intente archivar este proceso, el código javascript malicioso se ejecutará.

(última versión de chrome: Versión 126.0.6478.127 (Compilación oficial) (64 bits))

Es obvio que en la función de importación falta la sanitización de la entrada del usuario.

Subida de archivo malicioso

1. el usuario administrador puede subir un archivo html y eludir la restricción de imágenes en la sección de subida del logotipo de inicio de sesión personalizado de Customize UI.

2. este es el archivo subido:

3. también es posible subir un archivo php pero no se ejecuta.

falta una validación adecuada de la entrada en los cargadores.