Collection de PoC pour les vulnérabilités historiques de Bootstrap
Il s'agit d'une page HTML statique destinée à l'apprentissage et à la recherche, intégrant de multiples preuves de concept (PoC) pour des vulnérabilités de type Cross-Site Scripting (XSS) dans l'historique du framework Bootstrap.
Ce projet a pour objectif de fournir aux chercheurs en sécurité, aux développeurs et aux étudiants un environnement sûr et contrôlé pour comprendre et vérifier ces vulnérabilités spécifiques, sans avoir à mettre en place un environnement serveur complexe.
⚠️ Avertissement de sécurité important
- Usage éducatif uniquement : Ce projet et tout son code sont destinés uniquement à des fins de recherche en sécurité autorisées et légales, ainsi qu'à des fins pédagogiques.
- Interdiction d'attaques illégales : Il est strictement interdit d'utiliser cet outil ou l'un des codes qu'il contient pour tester ou attaquer un site web que vous ne possédez pas ou pour lequel vous n'avez pas obtenu d'autorisation explicite. Les tests d'intrusion non autorisés sont illégaux.
- Utilisation à vos propres risques : Vous assumez l'entière responsabilité de toutes les conséquences découlant de l'utilisation de ce projet.
🚀 Fonctionnalités et PoC inclus
- Fichier statique unique : Toutes les fonctionnalités sont intégrées dans un seul fichier HTML, sans nécessité de backend ni de base de données.
- Bascule manuelle de version : Il suffit de modifier un commentaire dans le fichier HTML pour basculer de manière fiable entre différentes bibliothèques de versions vulnérables de Bootstrap.
- Déclenchement répétable : Certains PoC sont optimisés pour pouvoir être déclenchés plusieurs fois, facilitant l'observation et l'analyse.
- Identification claire des vulnérabilités : Chaque PoC est clairement associé à son identifiant CVE.
Liste des PoC
| PoC # | Identifiant de vulnérabilité (CVE ID) | Description de la vulnérabilité | Versions de bibliothèque concernées (plage) |
|---|
| 1 | CVE-2019-8331 | XSS via l'attribut data-template du composant Tooltip non assaini | v4.x < v4.3.1 et v3.x < v3.4.1 |
| 2 | CVE-2018-14040 | XSS via l'attribut data-parent du composant Collapse non assaini | v4.x < v4.1.2 |
| 3 | CVE-2016-10735 | XSS via l'attribut data-target du composant Modal non assaini | v3.x < v3.4.0 |
| 4 | CVE-2024-6485 | XSS via l'attribut data-loading-text du plugin Button non assaini | v3.x < v3.4.1 |
- Obtenir le fichier : Téléchargez ou clonez ce projet pour obtenir le fichier
test.html.
- Modifier le fichier : Ouvrez
test.html avec n'importe quel éditeur de texte (VS Code, Sublime Text, Notepad, etc.).
- Choisir la version de la bibliothèque :
- Dans la section
<head> du fichier, collez l'URL correspondant à la version de la bibliothèque que vous souhaitez tester (référez-vous au tableau ci-dessus).
- Enregistrer et ouvrir : Enregistrez votre fichier
test.html modifié.
- Ouvrir dans le navigateur : Ouvrez ce fichier HTML local dans votre navigateur.
- Déclencher le PoC : Interagissez avec l'élément PoC correspondant sur la page (par exemple, survol ou clic) pour déclencher la vulnérabilité.
📜 Licence
Ce projet est sous licence MIT.
yumeae/bootstrap-with-xss
