CVE-2024-40492: Stored XSS ad ATO

Descrizione

Lo Stored Cross-Site Scripting (XSS) è un tipo di vulnerabilità di sicurezza tipicamente presente nelle applicazioni web. Si verifica quando un attaccante riesce a iniettare script dannosi in un'applicazione web e questi script vengono memorizzati sul server. Quando altri utenti accedono ai dati contenenti lo script dannoso, lo script viene eseguito nei loro browser.

Passaggi per la riproduzione

1. Vai su https://app.heartbeat.chat/
2. Crea un account con i seguenti dettagli:
   • Nome:
     root@kitploit:~

     giongfnef"><h1>test</h1>">
     

   • Cognome:
     root@kitploit:~

     giongfnef">
     

3. Vai su "Threads" e cerca il nome giongfnef -> l'XSS viene attivato -> questo è uno stored XSS che può portare all'Account Take Over

POC

Link POC per riprodurre l'exploit

Impatto

Dopo aver attivato l'XSS, posso procedere con un Account Take Over. Poiché si tratta di uno stored XSS, qualsiasi utente che visualizza la sezione utenti o cerca l'utente giongfnef attiverà l'XSS e vedrà rubata la propria sessione.

Mitigazione

Per prevenire vulnerabilità di stored XSS, segui queste buone pratiche:

• Validazione degli input: Valida e sanifica tutti gli input utente lato server.
• Codifica dell'output: Codifica i dati prima di visualizzarli nel browser per prevenire l'esecuzione di script iniettati.
• Usare librerie di sicurezza: Usa librerie e framework che gestiscono automaticamente la sanificazione degli input e la codifica dell'output.
• Content Security Policy (CSP): Implementa gli header CSP per limitare le fonti da cui gli script possono essere caricati.

Grazie per la lettura, buona giornata!