CVE-2025-52204 – XSS Réfléchi / Injection HTML dans le point de terminaison customer.pl de Znuny

Résumé

Une vulnérabilité de Cross-Site Scripting (XSS) Réfléchi et d'Injection HTML existe dans Znuny, permettant à des attaquants d'injecter du JavaScript ou du HTML arbitraire via le paramètre défini par la configuration système CustomerPanelSessionName dans le point de terminaison customer.pl.

Classification

• CVE : CVE-2025-52204
• CWE : CWE-79 – Mauvaise neutralisation des entrées lors de la génération de pages web (« Cross-site Scripting »)
• CVSS v3.1 (évaluation du chercheur) : 6.1 Moyen
• Vecteur CVSS : CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
• Enregistrement CVE public : CVE-2025-52204

Impact

Une exploitation réussie peut permettre à un attaquant distant non authentifié de :

• injecter du HTML ou du JavaScript arbitraire dans la réponse
• manipuler l'interface de connexion orientée client
• afficher du contenu trompeur ou de type hameçonnage
• rediriger les utilisateurs vers des ressources contrôlées par l'attaquant
• exécuter un script dans le navigateur de la victime dans le contexte de l'application affectée

Conditions d'attaque

• Aucune authentification requise
• Exploitation à distance via une requête GET conçue
• Accès à l'interface publique orientée client

Versions affectées / observées

Confirmé lors de tests contrôlés

• Znuny LTS : 6.5.10
• Znuny : 7.1.3

Observé lors de recherches réelles

Le problème a également été observé lors de recherches sur des instances réelles exposées publiquement exécutant :

• Znuny LTS : 6.5.9 - 6.5.18
• Znuny 7.0.11 - 7.2.3

Afin d'éviter d'exposer inutilement des systèmes tiers, les cibles spécifiques, les URL et les captures d'écran de validation de ces instances sont intentionnellement omis de ce dépôt public.

Chemins affectés observés

Lors des tests et des recherches, les motifs de requête suivants ont été observés :

• 6.5.9 - 6.5.18 : /otrs/customer.pl?OTRSCustomerInterface=$PAYLOAD
• 7.0.11 - 7.2.3 : /znuny/customer.pl?OTRSCustomerInterface=$PAYLOAD

Ce sont des motifs de requête observés et peuvent varier en fonction de la branche du produit et de la disposition de l'installation.

L'entrée affectée est celle définie par la configuration système CustomerPanelSessionName. Dans les déploiements observés, celle-ci peut apparaître comme OTRSCustomerInterface, selon la configuration système.

Versions corrigées

Le fournisseur a corrigé ce problème dans :

• Znuny LTS 6.5.19
• Znuny 7.3.1

Preuve de concept

Charge utile réfléchie lors de tests contrôlés

Znuny LTS 6.5.10

Znuny 7.1.3

Atténuation / Contournements

Les administrateurs doivent mettre à niveau vers les versions corrigées par le fournisseur :

• Znuny LTS 6.5.19
• Znuny 7.3.1

Les bonnes pratiques supplémentaires incluent :

• examiner l'exposition publique de l'interface client
• restreindre l'accès public inutile lorsque cela est possible sur le plan opérationnel
• surveiller les requêtes ciblant customer.pl
• examiner si un durcissement local de la configuration réduit l'exposition, en comprenant que les seules modifications de configuration peuvent ne pas constituer un correctif complet du produit

Références

• Enregistrement CVE-2025-52204
• Notes de version de Znuny 7.3.1
• Notes de version de Znuny LTS 6.5.19

Note de divulgation

Ce dépôt documente un processus de divulgation coordonnée de vulnérabilité.
Il n'inclut intentionnellement pas :

• une liste de cibles publiques en activité
• des données de balayage de masse
• un ensemble de charges utiles exploitées
• des conseils d'exploitation active

L'objectif est de préserver l'exactitude technique tout en minimisant les risques inutiles pour les tiers.