CVE-2026-67595 — JavaScript malveillant intégré dans VaahCMS

Avis de sécurité pour CVE-2026-67595 : un payload espion JavaScript obfusqué intégré dans les versions officielles de VaahCMS (un problème de chaîne d'approvisionnement / code malveillant intégré), découvert et signalé indépendamment par Ilhomjon Rustamov.

---

Résumé

---

Description

Les packages officiels VaahCMS (versions 2.0.0 à 2.3.4, distribués via les versions du fournisseur) contiennent un payload JavaScript malveillant et obfusqué intégré dans le template Blade utilisé pour les e-mails de sécurité / OTP.

Étant donné que le payload est livré dans des versions légitimes, tout déploiement installant une version affectée sert silencieusement du code côté client contrôlé par l'attaquant à ses utilisateurs — une compromission de la chaîne d'approvisionnement plutôt qu'un bug déclenché par une entrée externe.

Comportement malveillant

Une fois rendu dans le navigateur d'une victime, le payload déséobfusqué :

• Établit une connexion WebSocket vers un serveur de commande et contrôle (C2), offrant à l'opérateur un canal en direct vers la page.
• Déploie un enregistreur de frappes clavier sur les champs de mot de passe en surveillant le DOM avec un MutationObserver et en interceptant les champs nouvellement insérés.
• Extrait les données de session WhatsApp Web du contexte navigateur de la victime.
• Accepte des commandes à distance pour manipuler la page rendue (injecter du contenu, rediriger, modifier le DOM à la demande).

Composant affecté

• Emplacement : template Blade des e-mails de sécurité OTP
• Cause racine : JavaScript malveillant obfusqué intégré dans la source officielle / les artefacts de version (backdoor intégrée)

---

Preuve de concept

⚠️ Usage défensif / analytique uniquement. Cet avis est publié après que le problème a été corrigé et divulgué publiquement. Ne déployez pas le payload ni ne le pointez vers une infrastructure C2.

Identification du payload (reproduction sûre)

1. Obtenez une version affectée (VaahCMS 2.0.0–2.3.4) dans une machine virtuelle isolée.
2. Localisez le template Blade des e-mails de sécurité / OTP.
3. Observez le bloc <script> obfusqué qui n'appartient pas à la logique légitime du template.
4. Désobfusquez statiquement le payload (sans exécution) pour révéler la configuration WebSocket C2, le keylogger MutationObserver et la logique d'exfiltration WhatsApp Web.
5. Dans un navigateur sandboxé avec surveillance réseau, confirmez le beacon WebSocket sortant vers le endpoint C2 codé en dur.

Voir poc/ pour un outil d'analyse statique / de détection (aucun payload actif).

---

Impact

Un attaquant contrôlant le endpoint C2 peut, pour chaque utilisateur qui rend le template affecté :

• Voler les identifiants saisis dans les champs de mot de passe (keylogging).
• Détourner les sessions authentifiées (y compris les données WhatsApp Web).
• Manipuler à distance le contenu et le comportement de la page en temps réel.

Remédiation

• Mettez à niveau vers une version VaahCMS corrigée (post-2.3.4) qui supprime le payload.
• Auditez les installations existantes pour détecter le <script> malveillant dans le template d'e-mail OTP.
• Examinez les connexions WebSocket sortantes depuis les contextes de rendu d'e-mails / d'administration.
• Faites pivoter tout identifiant qui a pu être exposé pendant qu'une version affectée était en service.

---

Chronologie de la divulgation

---

Références

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-67595
• Avis Positive Technologies (PT-2026-65916) : https://dbugs.ptsecurity.com/researchers/Ilhomjon%20Rustamov
• Fournisseur : VaahCMS — https://vaah.dev

---

Crédits

Découvert et signalé par Ilhomjon Rustamov · HackTheBox · [email protected]

Avertissement

Publié à des fins éducatives et défensives uniquement, après que la vulnérabilité a été corrigée et divulguée publiquement. N'utilisez pas ce contenu contre des systèmes que vous n'êtes pas autorisé à tester.