CVE-2021-43032

Dans XenForo ≤ 2.2.7, un acteur malveillant ayant accès au panneau d'administration peut enregistrer des charges utiles de cross-site scripting dans toute fonction de l'application qui accepte du code HTML. Une charge utile placée dans la fonctionnalité « Advertising » (publicité) s'exécutera globalement côté client, permettant ainsi de multiples scénarios d'exploitation, tandis que d'autres charges utiles s'exécuteront côté client selon l'endroit où elles ont été stockées.

Crédits : John Jackson @johnjhacking et Jackson Henry @JacksonHHax

Étapes pour reproduire

1. Connectez-vous au panneau d'administration situé à /admin.php
2. Créez une nouvelle publicité et stockez la charge utile <script>alert(1)</script> dans le corps HTML.
3. Rendez-vous côté client : la fenêtre d'alerte apparaîtra de manière universelle dans toute l'application.
4. Vous pouvez stocker des scripts qui s'exécuteront dans différentes parties de l'application. Autre exemple : voici le processus de stockage d'un script malveillant dans la fonctionnalité de nœud.
5. En allant côté client puis en accédant au nœud concerné, cela déclenche l'exécution.

Impact

Le plus grand risque associé à cette vulnérabilité serait qu'un utilisateur malveillant exécute des actions dissimulées intégrées dans de vastes pages HTML, comme le minage de cryptomonnaie ou l'exfiltration de données. Il peut s'agir d'un utilisateur disposant déjà d'un accès à l'application, ou d'un acteur menaçant qui obtient des identifiants par le biais d'une prise de contrôle de compte ou de techniques d'ingénierie sociale.