Riproduzione di CVE-2025-1489

Questo repository simula una riproduzione di una CVE relativa al web (CVE-2025-1489) in un ambiente sicuro per dimostrare e mettere in pratica le mie competenze di analisi forense/delle vulnerabilità.

La vulnerabilità identificata e riprodotta è una vulnerabilità di cross-site scripting (XSS) memorizzato nel plugin WordPress WP-Appbox (versione 4.5.4). La falla consente a input controllati dall'attaccante, inseriti nel shortcode Appbox di un post, di essere renderizzati nell'output della pagina a causa di una sanitizzazione insufficiente dell'input e di un escaping dell'output inadeguato sugli attributi forniti dall'utente, abilitando così l'esecuzione di script malevoli tramite contesti di attributo. La vulnerabilità è corretta nelle versioni successive di WP-Appbox (versione 4.5.5+).

Descrizione della Vulnerabilità

Il plugin espone uno shortcode [appbox ...] che accetta un ID applicazione appID e attributi dello shortcode forniti dall'utente, che non vengono adeguatamente sanificati o escaped nel punto di ingresso del plugin.

Nel file sorgente createoutput.class.php, parti dei dati dello shortcode vengono inserite in attributi HTML o stili inline, consentendo l'iniezione in contesto di attributo (righe 199 e 438-447). Creando un appID che forza un'immagine di sfondo, sono riuscito a confermare richieste in uscita ripetibili verso un server attaccante, che sono chiari indicatori di XSS memorizzato lato server.