CVE-2025-25747 - Vulnérabilité XSS Réfléchie dans HotelDruid 3.0.7

Description

Une vulnérabilité de type Cross Site Scripting dans DigitalDruid HotelDruid v.3.0.7 permet à un attaquant d'exécuter du code arbitraire et d'obtenir des informations sensibles via le paramètre ripristina_backup dans le point d'accès crea_backup.php

---

Sévérité et Impact

Impact

Un attaquant pourrait tromper un utilisateur authentifié pour qu'il visite une URL conçue, ce qui déclencherait du JavaScript malveillant dans son navigateur. Les conséquences potentielles incluent :

• Détournement de session : Un attaquant pourrait voler les cookies de session, obtenant un accès non autorisé au compte de l'utilisateur.
• Hameçonnage ou distribution de logiciels malveillants : L'utilisateur pourrait être redirigé vers des sites malveillants, ou des scripts contrôlés par l'attaquant pourraient injecter du contenu malveillant directement dans l'interface.
• Utilisation abusive des privilèges administratifs : Si exploitée contre un administrateur, l'attaquant pourrait potentiellement modifier les paramètres système ou manipuler des données sensibles.

---

Preuve de Concept (PoC)

PoC 1 - Injection d'alerte

http://localhost/hoteldruid/crea_backup.php?anno=2025&id_sessione=<valid_session_id>&azione=SI&ripristina_backup=%22%3E%3CscrIpt%3Ealert%28%27Huy%20Vo%20Found%20This%20Vulnerability%27%29%3B%3C%2FscrIpt%3E&dati_conn=attuali&mantieni_anni=1

Résultat : Une fenêtre d'alerte contextuelle avec le message "Huy Vo Found This Vulnerability" confirme une exécution XSS réussie.

PoC 2 - Redirection externe

http://localhost/hoteldruid/crea_backup.php?anno=2025&id_sessione=<valid_session_id>&azione=SI&ripristina_backup="><scrIpt>window.location.href='https://www.facebook.com';</scrIpt>&dati_conn=attuali&mantieni_anni=1

Résultat : Le navigateur redirige automatiquement vers Facebook.

---

Analyse

Contexte

HotelDruid est un système de gestion hôtelière open source utilisé pour gérer les réservations, les chambres et la facturation des hôtels, chambres d'hôtes et autres établissements d'hébergement. Il est basé sur le web, généralement installé sur des serveurs locaux et accessible via un navigateur. Compte tenu de son interface web et de sa nature administrative, une sécurité renforcée est cruciale — en particulier pour les fonctions authentifiées.

---

Détails de la vulnérabilité

Le point d'accès crea_backup.php traite le paramètre ripristina_backup sans assainissement ni encodage, reflétant directement l'entrée utilisateur dans la page. Cela permet à un attaquant de créer une URL malveillante qui injecte du JavaScript arbitraire dans la page rendue pour un utilisateur authentifié.

Détails techniques clés

• Paramètre affecté : ripristina_backup
• Point d'accès affecté : crea_backup.php
• Type d'attaque : Cross-Site Scripting réfléchi (XSS)
• Condition préalable : Nécessite une session authentifiée valide (id_sessione)

Flux d'attaque

1. L'attaquant crée une URL malveillante avec la charge utile injectée dans ripristina_backup.
2. L'attaquant envoie cette URL à une victime authentifiée (par exemple, via un e-mail d'hameçonnage, un message de chat).
3. La victime clique sur l'URL alors qu'elle est authentifiée, déclenchant le JavaScript malveillant dans son navigateur.
4. Le script s'exécute dans le contexte de session de la victime, permettant :
   • Le vol de cookies de session (si HttpOnly n'est pas défini)
   • La redirection vers des sites contrôlés par l'attaquant
   • L'injection de contenu malveillant dans l'interface

---

Atténuation / Correction

Recommandations pour les développeurs

• Validation des entrées : Valider toutes les entrées fournies par l'utilisateur côté serveur.
• Encodage des sorties : Encodez correctement toutes les sorties avant de les restituer (par exemple, utilisez htmlspecialchars() en PHP pour encoder les caractères < et >).
• Politique de sécurité du contenu (CSP) : Mettez en place une politique de sécurité du contenu stricte pour réduire l'impact des scripts injectés.
• Gestion des sessions : Assurez-vous que les sessions ne sont pas exposées dans les paramètres GET (utilisez des cookies sécurisés avec les attributs HttpOnly et SameSite).

---

Chronologie et crédits

• Date de découverte : 16 janvier 2025
• Notification au fournisseur : 17 janvier 2025
• Attribution CVE MITRE : CVE-2025-25747, 27 février 2025
• Divulgation publique : 7 mars 2025
• Chercheur : Huy Vo (Chercheur en sécurité)