rrespxwnss/cve-2025-56771
Durante l'analisi del sito web ecodotempo.com.br, è stata scoperta una vulnerabilità di Cross-Site Scripting (XSS) memorizzato. Questa vulnerabilità consente a un attaccante di iniettare script dannosi in campi che vengono successivamente visualizzati ad altri utenti senza una corretta sanificazione, in particolare nella pagina iniziale dell'area non autenticata (disconnessa).
Durante l'analisi del sito web ecodotempo.com.br, è stata scoperta una vulnerabilità di Cross-Site Scripting (XSS) memorizzato. Questa vulnerabilità consente a un attaccante di iniettare script malevoli in campi che vengono successivamente renderizzati ad altri utenti senza un'adeguata sanitizzazione, in particolare sulla home page dell'area non autenticata (disconnessa).
ecodotempo.com.br/colecoes/itens/cadastrar_realizar.php
name="nome" and name="descricao"
Durante l'analisi del sito web ecodotempo.com.br, è stata scoperta una vulnerabilità di Cross-Site Scripting (XSS) memorizzato. Questa vulnerabilità consente a un attaccante di iniettare script malevoli in campi che vengono successivamente renderizzati ad altri utenti senza un'adeguata sanitizzazione, in particolare sulla home page dell'area non autenticata (disconnessa).
Lo script iniettato è stato memorizzato in modo persistente nel backend dell'applicazione ed eseguito nel browser di qualsiasi visitatore che accedeva alla pagina interessata, senza meccanismi di escape o protezione Content Security Policy (CSP).
Durante i test su ecodotempo.com.br, la vulnerabilità XSS memorizzato è stata specificamente identificata nel processo di creazione di un elemento della Collezione di Articoli. È stato possibile iniettare un payload malevolo nei campi nome o descrizione della creazione dell'elemento, senza meccanismi di mitigazione attivi—come validazione dell'input, filtri a livello di codice, Web Application Firewall (WAF) o header di sicurezza HTTP.
Dopo aver creato la collezione contenente lo script malevolo, effettuato il logout e aver acceduto alla pagina principale della collezione, navigando e facendo clic su un elemento registrato, il payload veniva eseguito automaticamente nel browser, causando un pop-up. Nei test, questo è stato utilizzato per dimostrare il furto di cookie. Questo comportamento conferma la mancanza di una corretta sanitizzazione e la reale possibilità di esecuzione arbitraria di script nel browser della vittima. Vedere la sezione delle evidenze di seguito per un esempio.
Nota: Oltre al furto di cookie, questa vulnerabilità potrebbe essere sfruttata per vari scopi malevoli come reindirizzare gli utenti verso siti web dannosi, esfiltrare dati sensibili, alterare il contenuto della pagina per attacchi di phishing o eseguire azioni per conto dell'utente, come descritto in precedenza nella sezione impatto.
La presenza di una vulnerabilità XSS memorizzato sulla pagina principale dell'area non autenticata di ecodotempo.com.br rappresenta un rischio significativo per la sicurezza. Poiché lo script iniettato viene memorizzato permanentemente e servito a ogni utente che accede alla pagina interessata, si apre la porta a una serie di attacchi lato client. Un attaccante potrebbe sfruttare questa falla per eseguire JavaScript arbitrario nel browser di visitatori ignari, potenzialmente rubando cookie di sessione, reindirizzando gli utenti verso siti web dannosi, eseguendo azioni per conto degli utenti senza il loro consenso o manipolando il contenuto della pagina per tentativi di phishing. Poiché la vulnerabilità è esposta in un'area pubblicamente accessibile, aumenta la probabilità di sfruttamento su larga scala, specialmente da parte di bot automatizzati o campagne mirate, minando potenzialmente la fiducia degli utenti e l'integrità della piattaforma.
Per correggere la vulnerabilità XSS memorizzato trovata sulla pagina principale dell'area non autenticata di ecodotempo.com.br, è necessario intraprendere le seguenti azioni:
Tutti gli input utente devono essere adeguatamente sanitizzati e validati sia lato client che lato server prima di essere memorizzati o renderizzati. In particolare, qualsiasi input che verrà visualizzato nel contesto HTML dovrebbe avere i caratteri speciali come <, >, ", ' e & codificati per impedire l'esecuzione di script. Inoltre, l'applicazione dovrebbe implementare la codifica dell'output in base al contesto in cui i dati vengono iniettati (HTML, JavaScript, attributo, URL, ecc.).
È anche fortemente raccomandato imporre una Content Security Policy (CSP) per limitare l'esecuzione di script non autorizzati e disabilitare gli script inline e il caricamento di script esterni da fonti non attendibili. Revisioni regolari del codice e test di sicurezza automatizzati (ad esempio con strumenti come OWASP ZAP o Burp Suite) dovrebbero essere integrati nel ciclo di sviluppo per rilevare e prevenire difetti simili in futuro.
Infine, eventuali payload malevoli già memorizzati dovrebbero essere identificati e rimossi dal sistema per eliminare i rischi esistenti.
