OpenTeknik LLC OSSN ओपन सोर्स सोशल नेटवर्क v6.3 LTS

भेद्यता स्पष्टीकरण:

OpenTeknik LLC OSSN ओपन सोर्स सोशल नेटवर्क v6.3 LTS में News Feed मॉड्यूल के माध्यम से एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता पाई गई।

हमला वैक्टर:

हमलावर को संग्रहीत XSS का शोषण करने के लिए "न्यूज़ फीड" पर कुछ पोस्ट करना होगा और स्थान इनपुट पर XSS पेलोड डालना होगा। सबमिशन के तुरंत बाद XSS पेलोड लॉन्च हो जाएगा।

प्रभावित:

http://ip_address:port/ossn/home
POST /ossn/action/wall/post/a?ossn_ts=1656419179&ossn_token=83b0ebdb6b2bbbcbaa0b804ce5cf3b5fba29a25474715bf2f7e4bbbd85316a86

पेलोड:

``
<BODY ONLOAD=alert('Grim-The-Ripper-Team-by-SOSECURE-Thailand')>
``

परीक्षण किया गया:

OSSN v6.3 LTS (https://github.com/opensource-socialnetwork/opensource-socialnetwork/releases/tag/6.3)
Google Chrome संस्करण 102.0.5005.115 (आधिकारिक बिल्ड) (x86_64)

हमले के चरण:

उपयोगकर्ता नाम और पासवर्ड से लॉगिन करें। (यदि आपके पास खाता नहीं है, तो आप पंजीकरण कर सकते हैं)
लॉगिन करने के बाद "News Feed" या वर्तमान पृष्ठ पर जाएं।
डेटा प्रविष्टि फॉर्म में डेटा दर्ज करें।
स्थान बटन पर क्लिक करें और XSS पेलोड दर्ज करें।
XSS पेलोड तुरंत चलेगा।

खोजकर्ता:

:shipit: Grim The Ripper Team by SOSECURE Thailand

माध्यम:

https://grimthereaperteam.medium.com/cve-2022-34963-ossn-6-3-lts-stored-xss-vulnerability-at-news-feed-b8ae8f2fa5f3

प्रकटीकरण समयरेखा:

2022–06–28: भेद्यता खोजी गई।
2022–06–28: MITRE निगम को भेद्यता की सूचना दी गई।
2022–07–08: CVE आरक्षित किया गया है।
2022–07–08: भेद्यता का सार्वजनिक प्रकटीकरण।

संदर्भ:

CVE-2022-34963

सबसे लोकप्रिय