[CVE-2024-54160]-Opensearch-HTML-इंजेक्शन + संग्रहीत XSS

यह पाया गया कि Opensearch प्लगइन जिसे "reports" कहा जाता है, संस्करण 2.18.0 में HTML-इंजेक्शन के प्रति संवेदनशील था। रिपोर्ट कार्यक्षमता उपयोगकर्ताओं को नई रिपोर्ट परिभाषा बनाते समय हेडर और फुटर में HTML संग्रहीत करने की अनुमति देती थी। नीचे एक त्वरित प्रूफ ऑफ कॉन्सेप्ट है जहाँ मैंने हेडर कार्यक्षमता में एक iframe संग्रहीत किया जिसने मेरी स्थानीय मशीन से एक JavaScript कीलॉगर लोड किया, जो उपयोगकर्ता द्वारा टाइप की गई कुंजियों को रिकॉर्ड करता था।

PoC

1. keylogger.html फ़ाइल को संपादित करें और एक स्थानीय IP जोड़ें जिस पर python3 http.server चल रहा है।
2. keylogger.html को सेव करें।
3. python3 सर्वर को उसी पथ पर "python3 -m http.server" के साथ प्रारंभ करें जहाँ keylogger.html फ़ाइल है।
4. Reports पर जाएँ।
5. आवश्यक फ़ील्ड भरें।
6. PDF चुनें।
7. हेडर या फुटर सक्षम करें।
8. iframe पेलोड दर्ज करें -> :8000/keylogger.html">
9. "Preview" पर क्लिक करें - कीलॉगर को python सर्वर से लोड किया जाना चाहिए।
10. कीबोर्ड पर कुछ टाइप करें और python सर्वर में प्रतिक्रिया देखें।

कार्रवाई में PoC का स्क्रीनशॉट

• iframed सामग्री बाईं ओर प्रदर्शित होती है (मुझे पता है कि यह सरल और बदसूरत है, लेकिन यह एक poc के लिए काम करता है :) )।
• लॉग की गई कीस्ट्रोक्स दाईं ओर दिखाई जाती हैं। (हालाँकि keylogger PoC इष्टतम नहीं था क्योंकि यह कुछ कीस्ट्रोक्स को छोड़ देता था!)