CVE-2024-40492 : XSS stocké menant à ATO

Description

Le Cross-Site Scripting stocké (XSS) est un type de vulnérabilité de sécurité généralement présent dans les applications web. Il se produit lorsqu'un attaquant parvient à injecter des scripts malveillants dans une application web et que ces scripts sont stockés sur le serveur. Lorsque d'autres utilisateurs accèdent aux données contenant le script malveillant, le script est exécuté dans leur navigateur.

Étapes pour reproduire

1. Rendez-vous sur https://app.heartbeat.chat/
2. Créez un compte avec les informations suivantes :
   • Prénom :
     root@kitploit:~

     giongfnef"><h1>test</h1>">
     

   • Nom :
     root@kitploit:~

     giongfnef">
     

3. Allez dans "Threads", puis recherchez le prénom giongfnef -> XSS déclenché -> il s'agit d'un XSS stocké qui peut conduire à une prise de compte.

POC

Lien POC pour reproduire l'exploit

Impact

Après avoir déclenché le XSS, je peux procéder à une prise de compte. Comme il s'agit d'un XSS stocké, tout utilisateur qui consulte la section des utilisateurs ou recherche l'utilisateur giongfnef déclenchera le XSS et verra sa session volée.

Atténuation

Pour prévenir les vulnérabilités de XSS stocké, suivez ces bonnes pratiques :

• Validation des entrées : Validez et nettoyez toutes les entrées utilisateur côté serveur.
• Encodage des sorties : Encodez les données avant de les afficher dans le navigateur afin d'empêcher l'exécution de scripts injectés.
• Utilisation de bibliothèques de sécurité : Utilisez des bibliothèques et des frameworks qui gèrent automatiquement le nettoyage des entrées et l'encodage des sorties.
• Politique de sécurité du contenu (CSP) : Implémentez les en-têtes CSP pour restreindre les sources à partir desquelles les scripts peuvent être chargés.

Merci d'avoir lu, bonne journée !