CVE-2025-66850

Scoperta

All'interno dell'applicazione 'LibreNMS', abbiamo scoperto una vulnerabilità di Cross-Site Scripting riflesso; questa vulnerabilità risiede nel parametro protocol del modulo di routing, consentendo a un utente malintenzionato di eseguire JavaScript dannoso nel browser di una vittima. Questa vulnerabilità riguarda tutte le versioni dalla 22.9.0 (settembre 2022) fino alla 24.9.1 (settembre 2024). La vulnerabilità è stata corretta silenziosamente nella versione 24.10.0 (novembre 2024) senza un successivo CVE o divulgazione pubblica. Questa correzione non documentata significa che molte organizzazioni potrebbero non essere a conoscenza della propria esposizione e devono ancora applicare gli aggiornamenti necessari. Puoi vedere la configurazione attuale utilizzata per testare questa vulnerabilità nella figura seguente:

Riepilogo tecnico

Una vulnerabilità di Cross-Site Scripting riflesso consente a utenti malintenzionati remoti di iniettare codice JavaScript arbitrario nei browser degli utenti autenticati di LibreNMS tramite URL appositamente modificati – potenzialmente consentendo loro di raccogliere cookie di sessione, creare un backdoor amministrativo o reindirizzare gli utenti verso domini controllati dall'attaccante. La prova dell'XSS può essere vista nell'immagine seguente:

Il difetto di sicurezza deriva da una validazione insufficiente dell'input nel parametro 'protocol' dell'endpoint '/routing'. L'applicazione applica una sanitizzazione di base tramite l'attributo 'basename()', prevenendo il directory traversal, ma non esegue la codifica delle entità HTML prima di riflettere l'input sulla pagina – consentendo agli attaccanti di bypassare i controlli di sicurezza di base e iniettare codice dannoso.

Informazioni sul prodotto interessato