CVE-2025-60374

CVE-2025-60374: Cross-Site Scripting stocké (XSS) dans le Chatbot Perfex CRM

⚠️ Avis de sécurité
Une vulnérabilité critique de Cross-Site Scripting stocké dans la fonctionnalité de chatbot de Perfex CRM

📋 Aperçu

Une vulnérabilité de cross-site scripting stocké (XSS) dans le composant chatbot de Perfex CRM, antérieure à la version 3.3.1, permet aux attaquants d'injecter du code JavaScript arbitraire via les messages de chat. La charge utile malveillante est stockée dans la base de données de l'application et exécutée dans les navigateurs des utilisateurs consultant la conversation, permettant le vol de jetons de session, des actions non autorisées au nom des victimes et d'autres attaques côté client.

🎯 Versions concernées

• Produit : Perfex CRM
• Éditeur : Perfex CRM
• Versions vulnérables : < 3.3.1
• Version corrigée : 3.3.1+

🔍 Détails de la vulnérabilité

Description

Le paramètre de message du chatbot dans Perfex CRM manque d'une bonne sanitisation des entrées et d'un encodage correct des sorties. Lorsque les utilisateurs soumettent des messages via l'interface du chatbot, des charges utiles HTML/JavaScript malveillantes sont stockées dans la base de données sans filtrage adéquat et sont ensuite rendues sans échappement approprié, conduisant à l'exécution de code dans les navigateurs des autres utilisateurs.

Cause racine

• ❌ Validation insuffisante des entrées sur le paramètre de message du chatbot
• ❌ Encodage de sortie manquant lors du rendu des messages stockés
• ❌ Cookies de session non marqués comme HttpOnly
• ❌ Absence de politique de sécurité du contenu (CSP)

💥 Impact

Implications de sécurité

• 🔓 Détournement de session : Les attaquants peuvent voler les jetons de session via l'accès à document.cookie
• 👤 Prise de contrôle de compte : Compromission totale des comptes des victimes
• 🎭 Élévation de privilèges : Compromission du compte administrateur si l'administrateur consulte un message malveillant
• 📊 Exfiltration de données : Accès à des informations sensibles dans le contexte du navigateur de l'utilisateur
• 🎪 Hameçonnage : Possibilité de modifier le contenu de la page et de rediriger les utilisateurs

Évaluation de la triade CIA

🧪 Preuve de concept

PoC 1 : XSS image de base

PoC 2 : XSS bouton interactif

<button onclick=alert('Click executed!')>Click here</button>

PoC 3 : Contenu intégré en lecture automatique

PoC 4 : XSS basé sur les événements

<meter value=2 min=0 max=10 onmouseover=alert('XSS triggered!')>
2 out of 10
</meter>

Scénario d'attaque réel

Exemple de vol de cookie :

Cette charge utile enverrait le cookie de session de la victime à un serveur contrôlé par l'attaquant, permettant une prise de contrôle complète du compte.

🛡️ Atténuation

Pour les utilisateurs finaux

1. ✅ Mise à jour immédiate : Mettez à jour vers Perfex CRM v3.3.1 ou ultérieur
2. 🔍 Auditer les messages : Examinez l'historique du chatbot pour rechercher du contenu HTML/JavaScript suspect
3. 🔄 Réinitialiser les sessions : Forcez tous les utilisateurs à se réauthentifier après l'application du correctif
4. 📝 Surveiller les journaux : Vérifiez les activités inhabituelles du chatbot

Pour les développeurs

Correctifs immédiats

// Input Sanitization Example
$message = htmlspecialchars($input_message, ENT_QUOTES, 'UTF-8');

// Output Encoding Example
echo htmlspecialchars($stored_message, ENT_QUOTES, 'UTF-8');

Améliorations de sécurité à long terme

1. Politique de sécurité du contenu (CSP)

Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none';

2. Cookies HttpOnly

setcookie('session', $value, [
    'httponly' => true,
    'secure' => true,
    'samesite' => 'Strict'
]);

3. Bibliothèque de validation des entrées

// Use DOMPurify, HTML Purifier, or similar
$clean_html = $purifier->purify($dirty_html);

📚 Références

• CWE-79: Cross-site Scripting (XSS)
• OWASP XSS Prevention Cheat Sheet
• Entrée officielle CVE-2025-60374

👤 Crédits

Découvert par : Ajansha Shankar , Ahamed Yaseen