pracharapol/cve-2025-45960
पाया गया कि वेब एप्लिकेशन उपयोगकर्ता द्वारा प्रदत्त इनपुट को उचित इनपुट सत्यापन या एन्कोडिंग के बिना संग्रहीत और प्रदर्शित करता है। इससे सर्वर पर दुर्भावनापूर्ण कोड संग्रहीत हो जाता है और बाद में उचित सैनिटाइज़ेशन के बिना उपयोगकर्ता के वेब ब्राउज़र में प्रस्तुत किया जाता है। उदाहरण के लिए, परीक्षक लाइव चैट पर दुर्भावनापूर्ण JavaScript संग्रहीत कर सकता है और इसे वेबसाइट पर निष्पादित किया जा सकता है।
यह हमलावरों को सिस्टम पर पैरामीटर में दुर्भावनापूर्ण कोड इंजेक्ट करने की अनुमति देता है और यदि उपयोगकर्ता उस वेबपेज तक पहुँचते हैं जिस पर दुर्भावनापूर्ण कोड संग्रहीत है, तो वेब एप्लिकेशन के उपयोगकर्ताओं को संभावित रूप से नुकसान पहुँचा सकता है। उदाहरण के लिए, संवेदनशील जानकारी चुराना, फ़िशिंग हमले, ब्रांड प्रतिष्ठा को नुकसान।
हमारे परीक्षण से पता चला कि चैट इनपुट फ़ील्ड में पर्याप्त इनपुट सत्यापन का अभाव है, जिससे परीक्षक JavaScript कोड वाले HTML टैग इंजेक्ट कर सकते हैं। जब उपयोगकर्ता द्वारा ऐसे टैग पर क्लिक किया जाता है, तो एम्बेडेड JavaScript उपयोगकर्ता के ब्राउज़र संदर्भ में निष्पादित हो जाता है। यह व्यवहार स्टोर्ड क्रॉस-साइट स्क्रिप्टिंग भेद्यता की उपस्थिति की पुष्टि करता है।
Payload: <img src="https://raw.githubusercontent.com/pracharapol/cve-2025-45960/HEAD/x" onclick='alert(document.domain)'>
