abraxas/element-ics-javascriptElement Web v1.12.29 - 高 - リモート - XSS - Univention ICS navigation.json リンクが javascript: メニュー href になる
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · element-ics-javascript
Element Web v1.12.29 - Element / New Vector
クラス: XSS 到達範囲: リモート
Univention バナーモジュールは ICS の navigation.json を取得し、各エントリの link をスキームチェックなしで z.string() として受け入れ、Menu.tsx がその文字列をスタイル付きの <a href> に配置します。静的メニュー設定では link_url に z.url() を使用しています。ICS のパスではそうなっていません。同じピンでの URL プレビューはすでに javascript: を拒否しています（previewFromBundle、GHSA-9r5h）。これはデフォルトの app.element.io ではありません。modules/banner と menu.type が univention であること、さらにデプロイが信頼する ICS が必要です。
その navigation.json を変更できる者は誰でも javascript: や data: を仕込めます。サインイン済みのユーザーがバナーメニューを開き、その項目をクリックすると、Element オリジン上でスクリプトが実行されます。
| ID | CVE 未割当 |
| CWE | CWE-79 / CWE-20 |
| CVSS | Medium: 6.8 CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:N |
| 製品 | Element Web |
| 影響を受けるバージョン | v1.12.29 タグ v1.12.29 (2d90d6b7b601ecb9ccdf81239a43b4396b4b0c9e)。条件: Univention バナー + ICS。 |
| 認証 | ICS 運用者 / ICS の侵害。被害者はメニュー項目をクリックするサインイン済みユーザー。 |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1 のみ |
Element デプロイが信頼する ICS を侵害または運用します。navigation.json に javascript:（または data:）URL を配置します。サインイン済みユーザーがバナーメニューを開き、その項目をクリックするのを待ちます。これは Matrix アカウントの乗っ取りです。アクセストークン、暗号ストア、セッション。OS の RCE ではありません。デスクトップでは依然として nodeIntegration が無効で、サンドボックスがあります。
| 権限 | メソッド / シンク | 偵察 / 完全性 / 可用性 | ラボ実証または推測 |
|---|---|---|---|
Element オリジン上でバナーメニューの <a href="javascript:…"> をレンダリング | ICS navigation.json entries[].link -> navigationToConfig link_url -> Menu.tsx LinkButton href={link.link_url} | メニュー DOM の完全性 | ラボ実証済み。モック ICS リンク javascript:ELEMENT-ICS-JAVASCRIPT-WITNESS がその href になった。https ポータルリンクは依然としてレンダリングされた |
| クリック後に Element オリジンとしてスクリプトを実行 | 被害者がメニュー項目をクリック（UI:R） | 完全性 | href シンクからの推測。ラボはブラウザクリックを実行したり、ライブの Matrix トークンを窃取したりしていない |
| Matrix アクセストークン / 暗号ストアを読み取る（アカウント乗っ取り） | オリジン内スクリプト vs localStorage / IndexedDB セッション | 偵察 / 完全性 | Element オリジン XSS からの推測。ラボの証拠は href 文字列 |
| Element タブをフィッシングページへトップナビゲート | SilentLogin.tsx のサンドボックスなし iframe src={new URL("silent", icsUrl)} | 完全性 | iframe に sandbox がないことはラボ実証済み。トップナビゲーションは未検証 |
data: による同じ仕込み | z.string() は任意のスキームを受け入れる | 完全性 | 推測。ラボは javascript: のみを仕込んだ |
このピンでクローズ済み: デフォルトの app.element.io（Univention バナーなし）。OS RCE / LPE（デスクトップの nodeIntegration: false、サンドボックス、contextIsolation）。Timeline HTML XSS。URL プレビューの javascript:（GHSA-9r5h previewFromBundle は http:/https: を要求）。HTML エクスポート XSS（GHSA-wqmv）。ウィジェットメディアトークン（GHSA-3jm3）。静的バナーの link_url: z.url() は運用者設定であり ICS ではない。z.url() もまた http/https の許可リストではない。
同じピンの残件: fragment guest wipe、vector: Windows ドライブレター。
2026年9月22日の GitHub リリース後、Element Web v1.12.29 をピン留めしました。URL プレビューはすでに苦労して http:/https: を学習していました。Univention ICS の link は依然として z.string() です。静的メニュー設定は z.url() を使用しています。取得パスはそのチェックを一切通りません。
すでに記録済みの誤った道: デフォルトの app.element.io を被害者とみなすこと（Univention は条件付き）。z.url() をスキーム許可リストとみなすこと（URL コンストラクタは javascript: を受け入れる）。クリック XSS を OS RCE に誇張すること。リバースシェル。茶番。
ピンの機能のガジェットとモック ICS navigation.json。ライブの Element Web コンテナではありません。how=gadget。URL プレビューの http/https 許可リスト（previewFromBundle）を適用すると、javascript href は削除され、https ポータルリンクは維持されました。
python3 element-ics-javascript-Abraxas-Labs.py
または
cd lab
./run.sh
対象は http://127.0.0.1:19620 のみ。Compose プロジェクト element-ics-javascript。スタックは実行後に破棄されます。
SUCCESS element-ics-javascript how=gadget href-scheme=javascript menu-a-javascript=yes allowlist-rejects=yes silent-no-sandbox=yes ELEMENT-ICS-JAVASCRIPT-WITNESS
previewFromBundle と同じ方法で、ICS の link に http: と https: を許可リスト化します。href= の前に javascript:、data:、その他のスキームを拒否します。サイレント iframe をサンドボックス化します（sandbox="" または少なくとも allow-top-navigation なし）。z.url() をスキーム許可リストとして扱わないでください。
navigation.tsMenu.tsxSilentLogin.tsxpreviewFromBundleGNU Affero GPL v3.0。LICENSE を参照。ループバックラボのみ。無保証。