CVE-2026-25860

OpenClinic GA 5.247.01 DICOM इमेज अपलोड हैंडलर के माध्यम से परावर्तित XSS

यदि आप इस XSS को RCE के साथ जोड़ना चाहते हैं तो पढ़ सकते हैं:

• https://www.partywave.site/show/research/cve-2026-25860-openclinic-ga-xss-to-rce

विवरण

OpenClinic GA <= v5.351.19 (12/05/2026) में DICOM इमेज अपलोड हैंडलर में एक परावर्तित क्रॉस-साइट स्क्रिप्टिंग भेद्यता है जो हमलावरों को DICOM फ़ाइल मेटाडेटा फ़ील्ड में दुर्भावनापूर्ण पेलोड एम्बेड करके पीड़ित के ब्राउज़र में मनमाना जावास्क्रिप्ट निष्पादित करने की अनुमति देती है। हमलावर मेटाडेटा फ़ील्ड जैसे स्टडी डिस्क्रिप्शन में जावास्क्रिप्ट पेलोड वाली DICOM फ़ाइल बना सकते हैं, जो popup.jsp और archiving/uploadfiles.java में बिना सैनिटाइज़ेशन के परावर्तित हो जाते हैं जब DICOM इमेज अपलोड सुविधा के माध्यम से संसाधित किया जाता है। पुराने संस्करण में फ़ाइल का नाम uploadfiles_jsp.java था।

कारण

web/archiving/uploadfiles.jsp फ़ाइल .DICOM अपलोड परिणाम रेंडर को संभालती है और कुछ DICOM फ़ील्ड दिखाती है। वे आगे की गणना या सैनिटाइज़ेशन के बिना परावर्तित हो जाते हैं, जिससे परावर्तित XSS होता है।

संवेदनशील कोड (संक्षिप्त संस्करण) वहाँ होता है जहाँ DICOM Tag को संभाला जाता है। विशेष रूप से StudyDescription निम्नलिखित चित्रों में हमारा POC फ़ील्ड है:

while (itr.hasNext()) {
    i++;
    FileItem item = (FileItem) itr.next();
    if (item.isFormField()) {
    } else {
        try {
            String fn = SCANDIR_BASE + "/from/" + filename + "_" + i;
            File savedFile = new File(fn);
            InputStream is = item.getInputStream();
            FileUtils.copyInputStreamToFile(is, savedFile);
            is.close();

            DicomObject obj = Dicom.getDicomObject(savedFile);
            if (obj == null) {
                errors.add(item.getName());
            } else {
                patients.add(obj.getString(Tag.PatientID));
                studies.add(obj.getString(Tag.StudyID) + "</td><td>" + obj.getString(Tag.StudyDescription).replaceAll("\\^", " "));
            }
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

नोट: नवीनतम स्थिर डाउनलोड रेडी-टू-रन रिलीज़ परीक्षण किए गए संस्करण से कुछ पीछे है। लेकिन भेद्यता अभी भी मौजूद है और Linux और Windows दोनों पर काम करती है।

POC

जावास्क्रिप्ट निष्पादित करने के लिए file.dcm नामक दुर्भावनापूर्ण DICOM फ़ाइल बनाएं, इसमें StudyDescription को इंजेक्ट करने के लिए html कोड के साथ संशोधित करें:

आगे के निरीक्षण और पॉपअप प्रबंधन popup.js द्वारा संभाला जाता है। परावर्तित XSS ट्रिगर करने के लिए इस फ़ाइल को अपलोड करें:

लिंक

• https://sourceforge.net/projects/open-clinic