CVE-2026-37196 – Cross-Site Scripting (XSS) stocké dans nirix traq v3.9.0

Aperçu

Une vulnérabilité de Cross-Site Scripting (XSS) stocké existe dans nirix traq v3.9.0, où l'entrée fournie par l'utilisateur dans le champ de description du ticket est mal assainie avant d'être rendue dans l'interface de l'application.

Cette vulnérabilité permet à un attaquant authentifié d'injecter des charges utiles JavaScript malveillantes dans une description de ticket. La charge utile est stockée par l'application et exécutée lorsqu'un autre utilisateur, y compris des utilisateurs privilégiés comme les administrateurs, consulte la chronologie du ticket affecté ou le composant de rendu.

• ID CVE : CVE-2026-37196
• Type de vulnérabilité : Cross-Site Scripting stocké (CWE-79)
• Vendeur : nirix
• Produit : traq
• Version affectée : 3.9.0
• Type d'attaque : À distance
• Sévérité : Élevée
• Chercheur : Pavan V

Résumé de la vulnérabilité

Le problème se produit parce que l'entrée HTML/JavaScript contrôlée par l'utilisateur est rendue sans codage ni assainissement appropriés de la sortie.

Un attaquant authentifié peut créer ou modifier un ticket et insérer une charge utile malveillante dans le champ de description. Lorsqu'un autre utilisateur consulte le ticket affecté, le script injecté s'exécute dans le contexte du navigateur de la victime.

Cela peut conduire à :

• Exécution arbitraire de JavaScript
• Détournement de session
• Actions non autorisées au nom des victimes
• Vol d'informations sensibles
• Escalade de privilèges dans certains scénarios

Composant affecté

Champ de description du ticket / Composant de rendu de la chronologie

La vulnérabilité est déclenchée lorsque les descriptions de ticket contenant du HTML ou JavaScript malveillant sont rendues dans l'interface de l'application sans échappement suffisant.

Preuve de concept (PoC)

Exemple de charge utile

Étapes de reproduction

1. Connectez-vous à une instance traq v3.9.0 avec un compte utilisateur valide.
2. Accédez à la fonctionnalité de création de ticket.
3. Créez un nouveau ticket.
4. Insérez une charge utile malveillante dans le champ de description.

Exemple :

5. Enregistrez le ticket.
6. Ouvrez ou prévisualisez le ticket à partir d'un autre compte utilisateur ou d'un compte privilégié.
7. Observez que la charge utile JavaScript s'exécute automatiquement lorsque la description est rendue.

Impact sur la sécurité

• Exécuter du JavaScript arbitraire dans les navigateurs des victimes
• Accéder aux informations de session authentifiée
• Effectuer des actions en tant qu'utilisateur affecté
• Manipuler le contenu des tickets
• Potentiellement cibler les administrateurs pour abus de privilèges

Cause racine

L'application ne parvient pas à assainir ou encoder correctement l'entrée contrôlée par l'utilisateur avant de rendre les descriptions de ticket dans le navigateur.

L'entrée utilisateur est stockée puis rendue sans protection suffisante contre l'injection HTML/JavaScript.

Mesures d'atténuation

Les mesures d'atténuation suivantes sont recommandées :

• Assainir correctement le contenu HTML contrôlé par l'utilisateur
• Appliquer un encodage contextuel de la sortie
• Utiliser un assainisseur HTML basé sur une liste blanche
• Déployer une politique de sécurité du contenu (CSP) solide
• Éviter de rendre du HTML brut à partir d'une entrée contrôlée par l'utilisateur

Chronologie

Avertissement

Ce dépôt est publié à des fins de recherche en sécurité et de sensibilisation défensive uniquement. Les informations fournies sont destinées à aider les développeurs et les défenseurs à comprendre et à corriger le problème.

Crédits

Découvert par : Pavan V