Netbox-CVE-2023-37625

विवरण

Netbox < 3.4.7 में एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता हमलावरों को Custom Link टेम्पलेट्स में इंजेक्ट किए गए क्राफ्टेड पेलोड के माध्यम से मनमानी वेब स्क्रिप्ट या HTML निष्पादित करने की अनुमति देती है।

तकनीकी विवरण

वेब एप्लिकेशन के कस्टम लिंक फ़ंक्शन में एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग भेद्यता पाई गई। यह भेद्यता Link URL फ़ील्ड के अपर्याप्त सैनिटाइज़ेशन के परिणामस्वरूप होती है।

इस भेद्यता को दोहराने के लिए, निम्नलिखित चरण किए जा सकते हैं:

1. Other टैब के अंतर्गत Custom Links पर जाएँ।
2. निम्नलिखित Link URL मान के साथ एक कस्टम लिंक बनाएँ, और लिंक को एक मॉडल को असाइन करें। इस उदाहरण में 'manufacturer' चुना गया है:

{{'test1"</a><script>alert(1)</script>'}}

3. एक नया मॉडल जोड़ें, इस उदाहरण में 'manufacturer' मॉडल जोड़ें।

4. किसी भी प्रमाणित उपयोगकर्ता के रूप में नए बनाए गए मॉडल को खोलें, और देखें कि अलर्ट बॉक्स निष्पादित हो गया है।