h4zaz/cve-2025-60503ultimatefosters における XSS 脆弱性
公開日: 2025-10-30
CVE ID: CVE-2025-60503 (RESERVED)
研究者: Vivien Lebas
ベンダー: UltimateFosters
製品: UltimatePOS
影響を受けるバージョン: 4.8
脆弱性の種類: 格納型クロスサイトスクリプティング (XSS)
深刻度: 高
UltimatePOS 管理パネル (v4.8) には 格納型XSS の脆弱性が存在します。
Purchases モジュールの Reference No. フィールドはサニタイズされていないユーザー入力を受け入れ、その入力は後に Reports → Activity Log ページで適切なエスケープなしにレンダリングされます。
これにより、管理者アクセス権を持つ攻撃者は、別の管理者のブラウザセッションのコンテキストで任意のJavaScriptを実行できます。
Purchases → List Purchases → + Add Reports → Activity Log
新しい購入を追加する際、Reference No. フィールドの値は直接保存され、その後アクティビティログビューに反映されます。
出力がエスケープされていないため、埋め込まれたHTML/JavaScriptは、ログが表示されたときに実行されます。
⚠️ テスト目的のみ – 本番システムでこのPoCを使用しないでください。
Purchases → List Purchases → + Add
<script>alert('XSS')</script>
必須フィールドをすべて入力し、Save をクリックする 移動先: Reports → Activity Log アラートボックスが表示される — JavaScriptが正常に実行された (格納型XSSが確認された)
影響 影響 説明 コード実行 管理者ブラウザのコンテキストで任意のJSが実行される セッションハイジャック 攻撃者がセッショントークンを盗む可能性がある データ窃取 管理者の機密データが外部に流出する可能性がある フィッシング 偽のUIオーバーレイやリダイレクト攻撃が発生する可能性がある
ベンダー向け:
すべてのユーザー入力をサニタイズおよび検証する (特に Reference No.)
HTMLで動的な値をレンダリングする前に出力をエンコードする
Content Security Policy (CSP) ヘッダーを適用する
Cookieを保護する (HttpOnly, SameSite=strict)
ユーザー向け:
管理者アクセスを信頼できるユーザーに制限する
共有の管理者アカウントを避ける
アクティビティログで不審なペイロードを監視する
ベンダーがパッチを公開したらすぐに適用する
クレジット
研究者: Vivien Lebas
CVE ID: CVE-2025-60503
製品: UltimateFosters 製の UltimatePOS 参照
ベンダー: https://ultimatefosters.com
製品ページ: UltimatePOS (CodeCanyon #21216332)
CVEエントリ (保留中): CVE-2025-60503 — RESERVED
注記: この脆弱性は、同じ製品の別のコンポーネントに影響を及ぼす CVE-2025-40980 とは異なります。