CVE-2025-65300

[Descrizione]

CVE-2025-65300: Vulnerabilità di Cross-Site Scripting (XSS) Memorizzato nella piattaforma SaaS Coohom

Data di divulgazione: 2025-10-28 Ultimo aggiornamento: 2025-10-28 Segnalatore: Phisit Pupiw Vendor: Coohom CWE: CWE-79 – Cross-Site Scripting

---

[Riepilogo]

È stata identificata una vulnerabilità di Cross-Site Scripting (XSS) memorizzato nella piattaforma SaaS Coohom, nel modulo Account Settings → Profile → Address. I dati forniti dall'utente memorizzati nei campi City, State e Country/Region vengono renderizzati al client senza una corretta sanitizzazione o codifica dell'output sensibile al contesto. Ciò consente agli attaccanti di memorizzare payload JavaScript dannosi che vengono eseguiti ogni volta che l'area del profilo interessata viene visualizzata. Il problema interessa la build di produzione feVersion=1760060603897 (verificata il 2025-10-28).

---

[Dettagli della Vulnerabilità]

Il frontend renderizza i dati dell'utente direttamente da "window.SAAS_ENV.userInfo.{city, state, country}" senza sanitizzazione o escaping, causando XSS memorizzato quando i payload iniettati vengono memorizzati nel database e successivamente visualizzati nell'interfaccia utente. Esempio di payload dannoso: </script><script>alert(document.cookie)</script>. Quando questo payload viene inserito nel campo City, salvato e la pagina del profilo viene ricaricata, JavaScript arbitrario viene eseguito nel browser della vittima.

---

[Componenti Affetti]

Modulo: Account Settings → Profile → Address (campi indirizzo) Campi: city, state, country Build del frontend interessata: feVersion=1760060603897 URL di produzione: https://www.coohom.com/pub/saas/settings/account

---

[Impatto]

Un attaccante può eseguire le seguenti azioni:

• Eseguire JavaScript arbitrario nel browser della vittima
• Rubare cookie di sessione (soggetti alle protezioni del browser)
• Eseguire azioni per conto della vittima
• Reindirizzare gli utenti o iniettare contenuti dannosi
• Persistere script dannosi che influenzano tutte le visualizzazioni future

---

[Vettore d'Attacco]

• Accesso richiesto: Utente autenticato
• Tipo di attacco: Remoto
• Interazione dell'utente: Visualizzazione della pagina del profilo interessata

---

[Flusso d'Attacco]

1. L'attaccante accede o registra un account Coohom
2. Naviga in Account Settings → Profile → Address
3. Inserisce un payload dannoso in City, State o Country/Region
4. Salva il modulo
5. Lo script viene eseguito ogni volta che la sezione del profilo viene renderizzata

---

[Prova di Concetto (PoC)]

Passi per riprodurre

1. Accedi a Coohom (https://www.coohom.com)
2. Apri Account Settings → Profile → Address
3. Inserisci il payload seguente nel campo City: </script><script>alert(document.cookie)</script>
4. Salva e aggiorna la pagina
5. JavaScript viene eseguito immediatamente → confermando lo XSS memorizzato

---

[Raccomandazione]

• Sanitizzare l'input al salvataggio
• Rifiutare tag HTML e attributi pericolosi
• Codifica HTML
• Codifica JavaScript
• Codifica degli attributi
• Implementare Content-Security-Policy (CSP)
• Disabilitare gli script inline con script-src 'self'

---

[Riferimenti]

• https://www.coohom.com/pub/saas/settings/account
• Stato record CVE (MITRE): CVE-2025-65300 (RESERVED)

---

[Crediti]

Scoperto da : Phisit Pupiw