1. L’attaquant se connecte avec un compte utilisateur valide.
2. L’attaquant crée ou modifie un Job, un Course ou un Batch.
3. Du JavaScript malveillant est inséré dans le champ de description.
4. La charge utile est enregistrée dans la base de données.
5. Tout utilisateur ouvrant la page concernée déclenche la charge utile.

Preuve de concept (PoC)

Étapes de reproduction :

1. Connectez-vous en tant qu’utilisateur authentifié.
2. Accédez à la page de création ou de modification de Job / Course / Batch.
3. Collez la charge utile dans le champ de description.
4. Enregistrez le formulaire.
5. Ouvrez le Job / Course / Batch créé.
6. Le JavaScript s’exécute dans le navigateur.

Cause racine

• Absence ou insuffisance d’assainissement HTML côté serveur
• Rendu non sécurisé des entrées fournies par l’utilisateur
• Absence d’encodage de sortie dans les modèles

Correctif / Atténuation

Correctif officiel

• Corrigé dans la version : 2.42.0

Améliorations de sécurité implémentées

• Assainissement HTML approprié des entrées
• Encodage de sortie sécurisé avant le rendu
• Restriction des balises et attributs exécutables

Bonnes pratiques recommandées

• Toujours assainir les entrées utilisateur côté serveur
• Appliquer un encodage de sortie selon le contexte (HTML, JS, URL)
• Utiliser un assainisseur HTML de confiance (par exemple, DOMPurify)
• Mettre en place une politique de sécurité du contenu (CSP)

Chronologie

• Signalé par : Dharan Raghunathan
• Statut : Corrigé
• Correctif publié dans la version : 2.42.0

Remerciement

Ce problème a été divulgué de manière responsable par Dharan Raghunathan.

Références

• OWASP XSS stocké : https://owasp.org/www-community/attacks/xss/
• CWE-79 : Neutralisation incorrecte de l’entrée lors de la génération de la page Web
• Avis GitHub : https://github.com/frappe/lms/security/advisories/GHSA-jjc4-j3hw-33h2

Avertissement

Ce document est fourni uniquement à des fins éducatives et de sécurité défensive.