CVE-2021-43032

XenForo ≤ 2.2.7 में, एक खतरा कारक जिसके पास एडमिन पैनल तक पहुंच है, वह एप्लिकेशन के किसी भी फंक्शन में क्रॉस-साइट स्क्रिप्टिंग पेलोड को सेव कर सकता है जो HTML कोड स्वीकार करता है। 'Advertising' कार्यक्षमता में रखा गया पेलोड क्लाइंट साइड पर वैश्विक रूप से निष्पादित होगा, जिससे कई शोषण परिदृश्य संभव होते हैं, जबकि अन्य पेलोड क्लाइंट साइड पर निष्पादित होंगे, यह इस बात पर निर्भर करता है कि इसे कहाँ संग्रहीत किया गया था।

क्रेडिट: John Jackson @johnjhacking और Jackson Henry @JacksonHHax

प्रतिकृति के चरण

1. /admin.php पर स्थित एडमिन पैनल में लॉगिन करें।
2. एक नया विज्ञापन बनाएँ और HTML बॉडी में पेलोड <script>alert(1)</script> संग्रहीत करें।
3. क्लाइंट साइड पर जाएँ और आप देखेंगे कि एप्लिकेशन में सार्वभौमिक रूप से अलर्ट पॉपअप दिखाई देता है।
4. आप ऐसी स्क्रिप्ट्स संग्रहीत कर सकते हैं जो एप्लिकेशन के विभिन्न हिस्सों में निष्पादित होंगी। एक अन्य उदाहरण के रूप में, यहाँ नोड कार्यक्षमता में दुर्भावनापूर्ण स्क्रिप्ट संग्रहीत करने की प्रक्रिया दी गई है।
5. क्लाइंट साइड पर जाकर और विशेष नोड पर नेविगेट करने पर निष्पादन होता है।

प्रभाव

इस कमजोरी के साथ सबसे बड़ा जोखिम एक दुर्भावनापूर्ण उपयोगकर्ता द्वारा विस्तृत HTML पृष्ठों में एम्बेडेड गुप्त क्रियाएँ निष्पादित करना होगा, जैसे क्रिप्टोकरेंसी माइनिंग या डेटा एक्सफिल्ट्रेशन। यह एक उपयोगकर्ता हो सकता है जिसकी एप्लिकेशन तक पहले से पहुंच है, या एक खतरा कारक जो खाता अधिग्रहण या सोशल इंजीनियरिंग पद्धति के माध्यम से क्रेडेंशियल्स प्राप्त करता है।