necr00/cve-2023-24278CVE-2023-24278 - Vulnerabilidades de XSS Reflejado en Squidex
ID CVE: CVE-2023-24278
Productos afectados: Versiones de Squidex anteriores a la 7.4.0
Reportado por: Ioannis Christodoulakos
Este repositorio proporciona información y un exploit para dos vulnerabilidades de Cross-Site Scripting (XSS) reflejado descubiertas en el software CMS de código abierto y sin cabecera Squidex. Estas vulnerabilidades afectan a todas las versiones anteriores a la 7.4.0 y permiten a los atacantes ejecutar código JavaScript malicioso en los navegadores de las víctimas incrustando código en parámetros de consulta específicos del endpoint /squid.svg.
Las vulnerabilidades existen debido a una sanitización inadecuada de la entrada proporcionada por el usuario en los parámetros text y background del endpoint /squid.svg. La entrada maliciosa pasada a estos parámetros se incrusta directamente en una imagen SVG generada automáticamente, que luego se refleja en el navegador del usuario. Esto permite a los atacantes inyectar y ejecutar código JavaScript arbitrario.
A continuación se muestra un exploit de prueba de concepto (PoC) que demuestra cómo se puede explotar la vulnerabilidad a través del parámetro background.
Envíe las siguientes solicitudes GET maliciosas al endpoint vulnerable:
Explotando el parámetro background:
GET /squid.svg?title=Not%20Found&text=This%20is%20not%20the%20page%20you%20are%20looking%20for!&background=%22%3E%3Cscript%3Ealert(1)%3C/script%3E%3Cimg%20src=%22&small HTTP/2
El servidor responderá con una imagen SVG que contiene el código JavaScript inyectado.
Cuando la víctima haga clic en el enlace malicioso, el código JavaScript se ejecutará en su navegador.
Para solucionar este problema:
Para más detalles, consulte el aviso oficial.