CVE-2026-41200

सारांश

STIG Manager एक API और वेब क्लाइंट है जो सूचना प्रणालियों के सुरक्षा तकनीकी कार्यान्वयन गाइड (STIG) मूल्यांकनों के प्रबंधन के लिए है। संस्करण 1.5.10 से 1.6.7 में `src/init.js` और `public/reauth.html` में OIDC प्रमाणीकरण त्रुटि हैंडलिंग कोड में एक परावर्तित क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता है। OIDC रीडायरेक्ट प्रवाह के दौरान, OIDC प्रदाता द्वारा लौटाए गए `error` और `error_description` क्वेरी पैरामीटर HTML एस्केपिंग के बिना `innerHTML` के माध्यम से सीधे DOM में लिखे जाते हैं। एक हमलावर जो एक दुर्भावनापूर्ण रीडायरेक्ट URL बना सकता है और किसी उपयोगकर्ता को उसका अनुसरण करने के लिए राजी कर सकता है, वह एप्लिकेशन के ओरिजिन संदर्भ में मनमाना JavaScript निष्पादित कर सकता है। यह भेद्यता सबसे गंभीर तब होती है जब लक्षित उपयोगकर्ता के पास किसी अन्य ब्राउज़र टैब में एक सक्रिय STIG Manager सत्र चल रहा हो — इंजेक्ट किया गया कोड उसी ओरिजिन में निष्पादित होता है और सक्रिय एक्सेस टोकन का प्रबंधन करने वाले SharedWorker के साथ संचार कर सकता है, जिससे पीड़ित की ओर से प्रमाणित API अनुरोध संभव हो जाते हैं, जिसमें संग्रह डेटा को पढ़ना और संशोधित करना शामिल है। यह भेद्यता संस्करण 1.6.8 में पैच की गई है। अपग्रेड करने के अलावा कोई वर्कअराउंड नहीं है। वेब एप्लिकेशन फ़ायरवॉल के पीछे तैनाती जो क्वेरी पैरामीटर में परावर्तित XSS पेलोड को फ़िल्टर करती है, आंशिक शमन प्रदान कर सकती है, लेकिन यह पैचिंग का विकल्प नहीं है।

स्रोत

• cve-2026-41200-stig-manager-oidc-reflected-xssPoC

  STIG Manager OIDC प्रमाणीकरण में रिफ्लेक्टेड XSS के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट जनरेटर, जो क्राफ्टेड कॉलबैक URL और फिशिंग HTML आउटपुट के माध्यम से सत्र टोकन चोरी को सक्षम बनाता है।