CVE-2021-40374 - OpenEyes 3.5.1 における格納型クロスサイトスクリプティング

説明

Apperta Foundation が開発した OpenEyes 3.5.1 において、格納型クロスサイトスクリプティング (XSS) の脆弱性が確認されました。

'Address1' パラメータにおける不適切な入力処理により、JavaScript が患者プロフィールに注入される可能性がありました。患者プロフィールが Web ブラウザによって読み込まれると、その JavaScript が実行されました。これにより、患者プロフィールを閲覧した無防備なユーザーに対して XSS 攻撃を仕掛けることが可能でした。

再現手順

1. 患者プロフィールに移動します。
2. 画面上部の「編集アイコン」をクリックします。
3. Address1 フィールドに、次の JavaScript を入力します: ``
4. 「Save patient」をクリックします。
5. 患者プロフィールを再読み込みします。
6. ブラウザによってアラートボックスが表示され、メッセージ「xss」が表示されることに注意してください。

影響

攻撃者が悪意のある JavaScript を OpenEyes アプリケーションに埋め込んだ場合、ユーザーアカウントの乗っ取り、認証情報の漏洩、機密データの外部への送信、または OpenEyes アプリケーションに対する悪意のある操作の実行に使用される可能性があります。

デモンストレーション

https://user-images.githubusercontent.com/20635370/131623517-818ac6f8-61bf-4221-8dd8-11fc7171acef.mp4