CVE-2021-29267

SherlockIM ChatBot XSS

[Suggested description]: SherlockIM es vulnerable a XSS persistente.

[Additional Information]: SherlockIM - Plataforma para gestionar todo tipo de conversaciones con clientes.

[Vulnerability Type]: Cross Site Scripting (XSS)

Se envió una carta al proveedor sobre la vulnerabilidad.

[Attack Vectors]: El atacante sube un archivo HTML malicioso a través del chatbot. El archivo malicioso se carga en el subdominio del cliente (cada cliente tiene un subdominio único en el dominio sherlockcrm). El código malicioso en el archivo subido se ejecuta exitosamente en "customer.sherlockcrm.ru". El enlace al archivo subido se filtra a través del chatbot y tiene el siguiente formato: https://customer.sherlockcrm.ru/api/Files/Attachment/unique_ID.html. El enlace es válido hasta que se elimine manualmente. El atacante puede atacar a los empleados del servicio de asistencia.

[Discovered]: Alexander Semenenko

[Proof of Concept]: