CVE-2026-36226: Advantech WebAccess/SCADA Create New Project User XSS PoC

Questa repository contiene una prova di concetto benigna per CVE-2026-36226, un problema di cross-site scripting in Advantech WebAccess/SCADA 8.0-2015.08.16.

Questa repository è destinata esclusivamente a ricerca di sicurezza autorizzata e riproduzione locale. Non utilizzarla contro sistemi di cui non si possiede la proprietà o per i quali non si ha esplicita autorizzazione al test.

Riepilogo

Advantech WebAccess/SCADA 8.0-2015.08.16 contiene una vulnerabilità di cross-site scripting nel componente Admin Dashboard Create New Project User. Il campo decryption non igienizza o codifica sufficientemente l'input controllato dall'utente prima di essere renderizzato nell'applicazione, permettendo a un attaccante remoto di eseguire JavaScript nel contesto del browser di un utente autenticato.

La PoC pubblica utilizza solo payload basati su alert innocui. Non include furto di credenziali, esfiltrazione di sessione o codice distruttivo.

Scopritore

Vaibhav D. Barkade

Prodotto interessato

• Fornitore: Advantech
• Prodotto: WebAccess/SCADA
• Versione: 8.0-2015.08.16
• Componente: Admin Dashboard, Create New Project User
• Campo: decryption
• Tipo di vulnerabilità: Cross-Site Scripting
• Tipo di attacco: Remoto

Utilizzo

Aprire la pagina helper locale:

python3 -m http.server 8000

Quindi navigare a:

http://127.0.0.1:8000/poc.html

Oppure copiare un payload direttamente da:

payloads.txt

Payload benigno predefinito:

"><svg/onload=alert("CVE-2026-36226")>

Verifica manuale

1. Accedere a un'istanza di laboratorio autorizzata di Advantech WebAccess/SCADA 8.0-2015.08.16.
2. Aprire la Admin Dashboard.
3. Navigare a Create New Project User.
4. Incollare il payload benigno nel campo decryption.
5. Salvare o visualizzare in anteprima il record.
6. Se un alert viene eseguito nel browser, il campo è vulnerabile a XSS.

Impatto

Uno sfruttamento riuscito consente l'esecuzione di JavaScript lato browser nel contesto di un utente che visualizza la pagina interessata. A seconda della configurazione della sessione e dei privilegi dell'utente, ciò può abilitare il dirottamento di sessione, la divulgazione di informazioni sensibili o azioni eseguite come utente vittima.

Mitigazione

• Codificare i dati non attendibili prima di renderizzarli in contesti HTML, attributo, JavaScript o URL.
• Convalidare e rifiutare input markup/script nel campo decryption.
• Applicare una Content Security Policy restrittiva.
• Marcare i cookie di sessione come HttpOnly, Secure e SameSite.
• Aggiornare a una versione corretta del fornitore se disponibile.