pracharapol/cve-2025-45960
È stato rilevato che l'applicazione web memorizza e visualizza input forniti dall'utente senza una adeguata validazione o codifica. Ciò consente a codice malevolo di essere salvato sul server e successivamente renderizzato nel browser dell'utente senza una appropriata sanitizzazione. Ad esempio, il tester ha potuto memorizzare JavaScript malevolo nella chat live e questo può essere eseguito sul sito web.
Consente a un attaccante di iniettare codice malevolo nel parametro del sistema e potenzialmente danneggiare gli utenti dell'applicazione web se questi accedono alla pagina web in cui è memorizzato il codice malevolo. Ad esempio, furto di informazioni sensibili, attacchi di phishing, danni alla reputazione del marchio.
I nostri test hanno rivelato che il campo di input della chat manca di una sufficiente validazione dell'input, consentendo ai tester di iniettare tag HTML contenenti codice JavaScript. Quando un utente fa clic su tale tag, il JavaScript incorporato viene eseguito nel contesto del browser dell'utente. Questo comportamento conferma la presenza di una vulnerabilità di Cross-Site Scripting memorizzata.
Payload: <img src="https://raw.githubusercontent.com/pracharapol/cve-2025-45960/HEAD/x" onclick='alert(document.domain)'>
