CVE-2024-40492: संग्रहीत XSS से ATO

विवरण

स्टोर्ड क्रॉस-साइट स्क्रिप्टिंग (XSS) एक प्रकार की सुरक्षा कमजोरी है जो आमतौर पर वेब अनुप्रयोगों में पाई जाती है। यह तब होता है जब कोई हमलावर किसी वेब एप्लिकेशन में दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करने में सक्षम होता है, और वे स्क्रिप्ट सर्वर पर संग्रहीत हो जाती हैं। जब अन्य उपयोगकर्ता उस डेटा तक पहुँचते हैं जिसमें दुर्भावनापूर्ण स्क्रिप्ट होती है, तो स्क्रिप्ट उनके ब्राउज़रों में निष्पादित होती है।

पुनरुत्पादन के चरण

1. https://app.heartbeat.chat/ पर जाएं।
2. निम्नलिखित विवरण के साथ एक खाता बनाएं:
   • पहला नाम:
     root@kitploit:~

     giongfnef"><h1>test</h1>">
     

   • अंतिम नाम:
     root@kitploit:~

     giongfnef">
     

3. "थ्रेड्स" पर जाएं, फिर पहले नाम giongfnef को खोजें -> XSS ट्रिगर होता है -> यह संग्रहीत XSS है जो खाता अधिग्रहण (Account Take Over) का कारण बन सकता है।

प्रमाण (POC)

शोषण को पुनरुत्पादित करने के लिए POC लिंक

प्रभाव

XSS को ट्रिगर करने के बाद, मैं खाता अधिग्रहण (Account Take Over) के साथ आगे बढ़ सकता हूं। चूंकि यह एक संग्रहीत XSS है, कोई भी उपयोगकर्ता जो उपयोगकर्ता अनुभाग देखता है या उपयोगकर्ता giongfnef को खोजता है, वह XSS को ट्रिगर करेगा और उसका सत्र चुरा लिया जाएगा।

समाधान (Mitigation)

संग्रहीत XSS कमजोरियों को रोकने के लिए, इन सर्वोत्तम प्रथाओं का पालन करें:

• इनपुट सत्यापन: सर्वर-साइड पर सभी उपयोगकर्ता इनपुट को मान्य और स्वच्छ (sanitize) करें।
• आउटपुट एन्कोडिंग: ब्राउज़र में प्रदर्शित करने से पहले डेटा को एन्कोड करें ताकि इंजेक्ट की गई स्क्रिप्ट के निष्पादन को रोका जा सके।
• सुरक्षा लाइब्रेरीज़ का उपयोग: ऐसी लाइब्रेरी और फ्रेमवर्क का उपयोग करें जो स्वचालित रूप से इनपुट स्वच्छता और आउटपुट एन्कोडिंग को संभालते हैं।
• सामग्री सुरक्षा नीति (CSP): सीएसपी हेडर लागू करें ताकि स्क्रिप्ट लोड करने के स्रोतों को प्रतिबंधित किया जा सके।

पढ़ने के लिए धन्यवाद, आपका दिन शुभ हो!