CVE-2026-5615 — VvvebJs Cross-Site Scripting Memorizzato (RXSS)

Panoramica

Questo repository contiene uno script proof-of-concept (PoC) in Python che dimostra una vulnerabilità di Cross-Site Scripting Memorizzato (RXSS) che interessa VvvebJs <= v2.0.5.

⚠️ Questo progetto è destinato esclusivamente a test di sicurezza autorizzati, ricerca educativa e validazione difensiva.

---

Informazioni sulla Vulnerabilità

• ID CVE: CVE-2026-5615
• Software Interessato: VvvebJs
• Versioni Interessate: <= 2.0.5
• Tipo di Problema: Cross-Site Scripting Memorizzato (RXSS)
• Gravità: Alta
• CVSS: 8.5
• Vettore di Attacco: Remoto

La vulnerabilità consente agli aggressori di caricare contenuti SVG appositamente predisposti contenenti JavaScript eseguibile, che può successivamente essere eseguito nel browser della vittima quando il file caricato viene visualizzato.

---

Funzionalità

• Elaborazione multi-thread dei target
• Validazione automatica del caricamento SVG
• Output terminale a colori
• Registrazione dei target riusciti
• Supporto per elenchi di target multipli

---

Requisiti

• Python 2.7
• Libreria requests

Installa la dipendenza:

pip install requests

---

File

File	Descrizione
CVE-2026-5615.py	Script PoC principale
CVE-2026-5615.txt	Esempio di elenco target
CodeB0ss-CVE-2026-5615_Exploited.txt	Output dei risultati riusciti

---

Utilizzo

Prepara un file di testo contenente gli URL dei target:

https://example.com
https://target-site.com

Esegui lo script:

python2 CVE-2026-5615.py

Quando richiesto:

 - [WEBLIST] > targets.txt

---

Output

Target Riusciti

I risultati riusciti vengono salvati in:

CodeB0ss-CVE-2026-5615_Exploited.txt

Messaggi di Stato del Terminale

Stato	Significato
Exploited	Il target sembra vulnerabile
Not_Vulnerable	Validazione del caricamento fallita
Cant_Access	Endpoint inaccessibile
Time0ut	Richiesta scaduta

---

Come Funziona

Lo script:

1. Legge gli URL dei target da un file
2. Tenta di caricare un file SVG appositamente predisposto
3. Invia il payload utilizzando multipart form-data
4. Verifica se l'SVG caricato diventa accessibile pubblicamente
5. Verifica la riflessione del payload e il successo del caricamento

---

Disclaimer

Questo repository è fornito per:

• Ricerca sulla sicurezza
• Scopi educativi
• Test di penetrazione autorizzati
• Valutazioni di sicurezza difensive

Non utilizzare questo progetto contro sistemi che non possiedi o per i quali non hai esplicita autorizzazione ai test.

L'autore non si assume alcuna responsabilità per usi impropri o danni causati da questo progetto.

---

Raccomandazioni di Mitigazione

Gli amministratori di siti web dovrebbero:

• Aggiornare VvvebJs a una versione corretta
• Disabilitare i caricamenti SVG pericolosi
• Sanificare il contenuto SVG caricato
• Applicare una rigorosa validazione del tipo MIME
• Implementare una Content Security Policy (CSP)
• Monitorare le directory di caricamento per file sospetti
• Limitare l'accesso pubblico agli asset caricati dove possibile

---

Dichiarazione sullo Scopo Educativo

Questo proof-of-concept è stato creato per aiutare:

• Ricercatori di sicurezza
• Penetration tester
• Sviluppatori
• Blue team
• Amministratori di sistema

a comprendere i rischi associati alla gestione non sicura dei caricamenti di file e alle vulnerabilità XSS memorizzate.

---

Riferimenti

• Database CVE
• OWASP XSS Prevention Cheat Sheet
• Linee Guida OWASP sulla Sicurezza dei Caricamenti di File
• Advisory di Sicurezza VvvebJs

---

Autore

Progetto di Ricerca sulla Sicurezza / Educativo