CVE-2026-37196 – Cross-Site Scripting (XSS) Memorizzato in nirix traq v3.9.0

Panoramica

Esiste una vulnerabilità di Cross-Site Scripting (XSS) Memorizzato in nirix traq v3.9.0, in cui l'input fornito dall'utente nel campo di descrizione del ticket non viene sanificato correttamente prima di essere visualizzato nell'interfaccia dell'applicazione.

Questa vulnerabilità consente a un attaccante autenticato di iniettare payload JavaScript dannosi nella descrizione di un ticket. Il payload viene memorizzato dall'applicazione ed eseguito quando un altro utente, inclusi utenti privilegiati come gli amministratori, visualizza la timeline del ticket interessato o il componente di rendering.

• CVE ID: CVE-2026-37196
• Tipo di vulnerabilità: Cross-Site Scripting Memorizzato (CWE-79)
• Fornitore: nirix
• Prodotto: traq
• Versione interessata: 3.9.0
• Tipo di attacco: Remoto
• Gravità: Alta
• Ricercatore: Pavan V

Riepilogo della vulnerabilità

Il problema si verifica perché l'input HTML/JavaScript controllato dall'utente viene renderizzato senza una corretta codifica di output o sanificazione.

Un attaccante autenticato può creare o modificare un ticket e inserire un payload dannoso nel campo di descrizione. Quando un altro utente visualizza il ticket interessato, lo script iniettato viene eseguito nel contesto del browser della vittima.

Ciò può portare a:

• Esecuzione arbitraria di JavaScript
• Dirottamento della sessione
• Azioni non autorizzate per conto delle vittime
• Furto di informazioni sensibili
• Escalation dei privilegi in determinati scenari

Componente interessato

Campo di descrizione del ticket / Componente di rendering della timeline

La vulnerabilità viene attivata quando le descrizioni dei ticket contenenti HTML o JavaScript dannosi vengono renderizzate nell'interfaccia dell'applicazione senza un escaping sufficiente.

Prova di concetto (PoC)

Payload di esempio

Passaggi per la riproduzione

1. Accedi a un'istanza di traq v3.9.0 con un account utente valido.
2. Vai alla funzionalità di creazione dei ticket.
3. Crea un nuovo ticket.
4. Inserisci un payload dannoso nel campo di descrizione.

Esempio:

5. Salva il ticket.
6. Apri o visualizza in anteprima il ticket da un altro account utente o da un account privilegiato.
7. Osserva che il payload JavaScript viene eseguito automaticamente quando la descrizione viene renderizzata.

Impatto sulla sicurezza

Lo sfruttamento riuscito può consentire agli attaccanti di:

• Eseguire JavaScript arbitrario nel browser delle vittime
• Accedere alle informazioni di sessione autenticate
• Eseguire azioni come utente interessato
• Manipolare il contenuto dei ticket
• Potenzialmente prendere di mira gli amministratori per abuso di privilegi

Causa principale

L'applicazione non riesce a sanificare o codificare correttamente l'input controllato dall'utente prima di renderizzare le descrizioni dei ticket nel browser.

L'input dell'utente viene memorizzato e successivamente renderizzato senza una protezione sufficiente contro l'iniezione di HTML/JavaScript.

Mitigazione

Si raccomandano le seguenti mitigazioni:

• Sanificare correttamente il contenuto HTML controllato dall'utente
• Applicare una codifica di output contestuale
• Utilizzare un sanitizzatore HTML basato su allowlist
• Implementare una robusta Content Security Policy (CSP)
• Evitare di renderizzare HTML grezzo proveniente da input controllati dall'utente

Cronologia

Dichiarazione di non responsabilità

Questo repository è pubblicato esclusivamente a fini di ricerca sulla sicurezza e consapevolezza difensiva. Le informazioni fornite sono intese ad aiutare sviluppatori e difensori a comprendere e correggere il problema.

Crediti

Scoperto da: Pavan V