abraxas/drupal-htmx-attrDrupal 11.4.8 - Alta - Remoto - XSS - AttributeXss consente ancora attributi HTMX
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · drupal-htmx-attr
Write-up: https://abraxaslabs.tech/research/drupal-htmx-attr
Classe: XSS memorizzato Portata: Remota
Drupal core 11.4.8 (61044508) - Drupal
SA-CORE-2026-011 ha chiuso gli attributi HTMX in Xss::attributes(). Gli attributi dei link e dei menu passano attraverso AttributeXss::sanitizeAttributes, e quella skip list elimina ancora solo style e on*.
Un editor di contenuti che può impostare un campo Link (o un link di menu) può memorizzare hx-on-click o data-hx-on-click. Standard più BigPipe carica core/htmx. Quando un amministratore o qualsiasi altro visualizzatore apre quel nodo e clicca sul link, HTMX esegue il JS memorizzato nell'origine del sito.
| ID | nessuna CVE al momento |
| Classe | XSS memorizzato (attributi evento HTMX) |
| Portata | Remota (utente autenticato con scrittura su campo Link / menu; la vittima visualizza e clicca) |
| CWE | CWE-79 |
| CVSS | Alto: 8.7 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N |
| Prodotto | Drupal core |
| Affetto | 11.4.8 (61044508071749629aaf3380aa85971e94df9e84) |
| Auth | utente autenticato che può scrivere su un campo Link (o link di menu). La vittima visualizza la pagina e clicca. |
| Licenza | GNU Affero GPL v3.0 |
| Lab | solo 127.0.0.1 |
Scrittore: un editor di contenuti che può impostare options.attributes di un link (campo Link, link di menu, JSON:API). Vittima: chiunque la cui pagina carica HTMX (Standard + BigPipe carica core/htmx), incluso un amministratore del sito che clicca sul link.
| Privilegio | Metodo / percorso | Tipo | Provato in lab o dedotto |
|---|---|---|---|
| Persistere attributi evento HTMX su un link | POST /jsonapi/node/article con field_link.options.attributes.hx-on-click e data-hx-on-click | Integrità del campo memorizzato | Provato in lab. JSON:API 201, gli attributi memorizzati contengono ancora hx-on-click |
Stampare quegli attributi sul <a> del nodo | LinkFormatter -> AttributeXss::sanitizeAttributes | Integrità dell'HTML | Provato in lab. GET /node/1 l'HTML contiene hx-on-click e il marker window['DRUPAL-HTMX-ATTR-WITNESS']=1 |
| Eseguire quel JS nell'origine della vittima quando clicca | HTMX associa hx-on-* | Integrità della sessione della vittima | Dedotto da HTMX + dal fatto che la pagina carica core/htmx. Il lab non ha simulato un click nel browser |
| Agire come il visualizzatore (cookie di sessione, click nell'interfaccia admin) | Stesso XSS memorizzato | Integrità della sessione della vittima | Dedotto. Il lab si ferma all'attributo che rimane nell'HTML |
Negativo: Xss::filter | Xss::filter('<a ... hx-on-click=...>') | Chiuso | Provato in lab come chiuso. xss_keeps_hx=False |
| Scrittura non autenticata del link | JSON:API senza sessione | Chiuso | Il lab ha effettuato il login come uid 1 prima. Un estraneo senza account non può impostare il campo |
| RCE PHP / LPE | n/d | Chiuso | Questo residuo è JS nel browser, non PHP sul server |
Stesso residuo del pin: Move Block sibling markup.
Ho fissato drupal/drupal 11.4.8 dopo SA-CORE-2026-011. Cinque ricerche: XSS/HTMX, file/MIME/oEmbed, JSON:API/unserialize/SQLi, auth/CSRF/Host, REST/media/Views. L'accesso a JSON:API, le chiavi IN di EntityQuery (SA-004), il POI dei campi serializzati (SA-005) e l'Host di rebuild.php (SA-007) restano corretti. La skip list di HTMX è stata inserita solo in Xss.php.
$skip = (
in_array($attribute_name, ['style', 'srcdoc']) ||
str_starts_with($attribute_name, 'on') ||
str_starts_with($attribute_name, 'data-hx') ||
str_starts_with($attribute_name, 'hx') ||
str_starts_with($attribute_name, '-') ||
strlen($attribute_name) > 96
);
AttributeXss.php rimanente:
$skip = (
$attribute_name == 'style' ||
str_starts_with($attribute_name, 'on') ||
str_starts_with($attribute_name, '-') ||
strlen($attribute_name) > 96
);
I chiamanti includono LinkFormatter.php e MenuLinkContent::getUrlObject().
Vicoli ciechi già registrati: trattare Xss::filter come il residuo (è il controllo); scrittura JSON:API non autenticata; RCE PHP; una reverse shell. Teatro. L'oracolo è l'attributo che rimane sull'HTML del nodo più core/htmx caricato.
python3 drupal-htmx-attr-Abraxas-Labs.py
o
cd lab
./run.sh
Prendi di mira solo http://127.0.0.1:19480. Istanza live drupal:11.4.8-apache, profilo Standard, scrittura JSON:API abilitata per il laboratorio. Progetto Compose drupal-htmx-attr.
SUCCESS drupal-htmx-attr how=live write=jsonapi nid=1 hx-on-click=kept jsonapi-stored=1 xss-filter=stripped htmx=loaded marker=1 version=11.4.8 DRUPAL-HTMX-ATTR-WITNESS
Copia la denylist hx / data-hx / srcdoc in AttributeXss. Incorporala in Xss come già indicato nel docblock della classe.
61044508071749629aaf3380aa85971e94df9e84)AttributeXss.php · Xss.phpGNU Affero GPL v3.0. Vedi LICENSE. Solo laboratorio loopback. Nessuna garanzia.