Collabora CODE <= 4.2.2 Vereign の WOPI API における格納型 XSS と安全でない権限 (アカウント乗っ取り) - 4.2.2
影響を受けるバージョン: Collabora CODE <= 4.2.2
悪用要件: Vereign の /wopi/ API インターフェースが、提供された生成トークンを使用してアクセス可能である必要があります。これはデフォルト構成です。
vereign (www.verign.com) によって開発され、Collabora CODE のメインパッケージ (https://www.collaboraoffice.com/code/) に統合された wopi API インターフェースは、XSS 攻撃と安全でないファイルアクセス権限に対して脆弱です。任意の HTML ファイルを含むドキュメントをアップロードした後、XSS リダイレクトを含む特別に細工されたリンクを被害者に提供することで、localStorage データを盗み取ることが可能です。
PoC:
javascript コードを含むドキュメントファイルをアップロードし、リクエストを burp (またはその他の傍受プロキシ) を介して傍受します。HTML コンテンツを ファイル内に配置し、Cookie とローカルストレージのユーザーデータを第三者ドメインに 送信する HTML フォームと javascript を含めます。
Web アプリケーションを介してドキュメントにアクセスし、ドキュメントの アクセストークンを /wopi/getAccessToken エンドポイントの API レスポンスから取得します。
悪意のある HTML リンクを被害者に送信します。iframe または フォーラムの署名に含めることができます:
<a href=https://target.com/wopi/files/10/contents?access_token=<token> >Click here</a>