CVE-2021-40374 - Cross-site Scripting stocké dans OpenEyes 3.5.1

Description

Une vulnérabilité de cross-site scripting (XSS) stocké a été identifiée dans OpenEyes 3.5.1, développé par la Fondation Apperta.

Une gestion incorrecte des entrées dans le paramètre 'Address1' a permis d'injecter du JavaScript dans le profil d'un patient. Lorsque le profil du patient était chargé par le navigateur web, le JavaScript s'exécutait. Cela pouvait être utilisé pour effectuer des attaques XSS sur des utilisateurs inconscients qui consultaient le profil du patient.

Reproduction

1. Accédez à un profil patient.
2. Cliquez sur l''icône d'édition' près du haut de l'écran.
3. Dans le champ Address1, saisissez le JavaScript suivant : ``
4. Cliquez sur 'Enregistrer le patient'.
5. Rechargez le profil du patient.
6. Notez qu'une boîte d'alerte est déclenchée par le navigateur avec le message 'xss'.

Impact

Si un attaquant devait intégrer du JavaScript malveillant dans l'application OpenEyes, cela pourrait être utilisé pour détourner des comptes utilisateurs, voler des identifiants, exfiltrer des données sensibles ou effectuer des actions malveillantes sur l'application OpenEyes.

Démonstration

https://user-images.githubusercontent.com/20635370/131623517-818ac6f8-61bf-4221-8dd8-11fc7171acef.mp4