mnqazi/cve-2023-2516Medium Blog
Hola a todos, quería compartir con ustedes una vulnerabilidad que descubrí en Teampass, un software de gestión de contraseñas. Encontré una vulnerabilidad XSS almacenado (CVE-2023-2516) que permite a los atacantes inyectar código malicioso en carpetas compartidas, lo que puede potencialmente llevar a consecuencias graves como el robo de datos sensibles o el acceso no autorizado a sistemas.
Si dos usuarios tienen permiso para acceder a una carpeta compartida, un atacante puede crear un nuevo elemento en la carpeta e insertar un payload XSS en el campo del elemento. Cuando el elemento se guarda, el payload se implementa con éxito dentro de la carpeta compartida. Luego, cuando otro usuario abre la carpeta compartida y hace clic en el elemento, se activa una alerta XSS.
Informé de esta vulnerabilidad al equipo de desarrollo de Teampass y se ha corregido en la última versión del software. Sin embargo, los usuarios aún deben tomar precauciones para prevenir la explotación, como limitar el acceso a carpetas compartidas y ser cautelosos al abrir enlaces o archivos de fuentes no confiables.
Si estás interesado en aprender más sobre mis hallazgos, consulta el enlace del informe en huntr.dev.
También puedes seguirme para obtener actualizaciones sobre mi investigación y otros temas relacionados con la seguridad:
¡Cuídense!
