OpenTeknik LLC OSSN OPEN SOURCE SOCIAL NETWORK v6.3 LTS

भेद्यता स्पष्टीकरण:

OpenTeknik LLC OSSN OPEN SOURCE SOCIAL NETWORK v6.3 LTS में Group Timeline मॉड्यूल के माध्यम से एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता पाई गई है।

हमले के वेक्टर:

हमलावर को Group Timeline पर कुछ पोस्ट करना होगा और XSS पेलोड को स्थान इनपुट पर डालना होगा ताकि संग्रहीत XSS का शोषण किया जा सके। XSS पेलोड सबमिशन के तुरंत बाद लॉन्च हो जाएगा।

प्रभावित:

• http://ip_address:port/ossn/group/{number}

• POST /ossn/action/wall/post/g?ossn_ts=1656419377&ossn_token=c0ee6b52f853a5073679f7a82372a0726a6a6e7d5500ec372fef9341f1e45e21

पेलोड:

1. ``

2. <BODY ONLOAD=alert('Grim-The-Ripper-Team-by-SOSECURE-Thailand')>

3. ``

परीक्षण किया गया:

1. OSSN v6.3 LTS (https://github.com/opensource-socialnetwork/opensource-socialnetwork/releases/tag/6.3)

2. Google Chrome Version 102.0.5005.115 (Official Build) (x86_64)

हमला करने के चरण:

1. उपयोगकर्ता नाम और पासवर्ड से लॉगिन करें। (यदि आपके पास खाता नहीं है, तो आप पंजीकरण कर सकते हैं)
2. "Groups" पर जाएँ। (यदि आपके पास कोई समूह नहीं है, तो आप "Add Group" बटन पर क्लिक करके एक बना सकते हैं।)
3. डेटा प्रविष्टि फॉर्म में डेटा दर्ज करें।
4. स्थान बटन पर क्लिक करें और XSS पेलोड दर्ज करें।
5. XSS पेलोड तुरंत चलेगा।

खोजकर्ता:

:shipit: Grim The Ripper Team द्वारा SOSECURE Thailand

माध्यम:

• https://grimthereaperteam.medium.com/cve-2022-34962-ossn-6-3-lts-stored-xss-vulnerability-at-group-timeline-6ebe28dd6034

प्रकटीकरण समयरेखा:

• 2022–06–28: भेद्यता की खोज की गई।
• 2022–06–28: भेद्यता MITRE निगम को रिपोर्ट की गई।
• 2022–07–08: CVE आरक्षित किया गया।
• 2022–07–08: भेद्यता का सार्वजनिक प्रकटीकरण।

संदर्भ:

1. https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-34962
2. https://www.opensource-socialnetwork.org/
3. https://github.com/opensource-socialnetwork/opensource-socialnetwork/releases/tag/6.3
4. https://www.openteknik.com/contact?channel=ossn