説明

ecodotempo.com.br ウェブサイトの分析中に、保存型クロスサイトスクリプティング（XSS）の脆弱性が発見されました。この脆弱性により、攻撃者は適切なサニタイズなしに他のユーザーに表示されるフィールドに悪意のあるスクリプトを注入できます。具体的には、認証されていない（ログアウト状態の）エリアのホームページで発生します。

影響を受けるエンドポイント

ecodotempo.com.br/colecoes/itens/cadastrar_realizar.php

影響を受けるパラメータ

name="nome" および name="descricao"

ペイロード例:

PoC

ecodotempo.com.br ウェブサイトの分析中に、保存型クロスサイトスクリプティング（XSS）の脆弱性が発見されました。この脆弱性により、攻撃者は適切なサニタイズなしに後で他のユーザーに表示されるフィールドに悪意のあるスクリプトを注入できます。具体的には、認証されていない（ログアウト状態の）エリアのホームページで発生します。

注入されたスクリプトはアプリケーションのバックエンドに永続的に保存され、影響を受けるページにアクセスした訪問者のブラウザで実行されました。エスケープメカニズムやコンテンツセキュリティポリシー（CSP）による保護はありませんでした。

ecodotempo.com.br でのテスト中、保存型XSS脆弱性は特にアイテムコレクションのアイテム作成プロセスで特定されました。アイテム作成の名前フィールドまたは説明フィールドに悪意のあるペイロードを注入することが可能であり、入力検証、コードレベルのフィルター、Webアプリケーションファイアウォール（WAF）、HTTPセキュリティヘッダーなどの能動的な軽減メカニズムはありませんでした。

悪意のあるスクリプトを含むコレクションを作成した後、ログアウトしてコレクションのメインページにアクセスし、登録されたアイテムに移動してクリックすると、ペイロードがブラウザで自動的に実行され、ポップアップが表示されました。テストでは、これはクッキーのスクレイピングを示すために使用されました。この動作は、適切なサニタイズの欠如と、被害者のブラウザでの任意のスクリプト実行の現実的な可能性を確認します。例については、以下の証拠セクションを参照してください。

注：クッキー窃取に加えて、この脆弱性は、ユーザーを有害なウェブサイトにリダイレクトする、機密データを外部に流出させる、フィッシング攻撃のためにページ内容を改ざんする、ユーザーに代わってアクションを実行するなど、さまざまな悪意のある目的に悪用される可能性があります（影響セクションで前述のとおり）。

影響

ecodotempo.com.br の認証されていないエリアのメインページに保存型XSS脆弱性が存在することは、重大なセキュリティリスクをもたらします。注入されたスクリプトは永続的に保存され、影響を受けるページにアクセスするすべてのユーザーに提供されるため、さまざまなクライアントサイド攻撃の扉を開きます。攻撃者はこの欠陥を悪用して、無防備な訪問者のブラウザで任意のJavaScriptを実行し、セッションクッキーを盗む、ユーザーを悪意のあるウェブサイトにリダイレクトする、ユーザーの同意なしにユーザーに代わってアクションを実行する、またはフィッシング試行を行うためにページ内容を操作する可能性があります。この脆弱性は一般公開されているエリアにさらされているため、特に自動化されたボットや標的型キャンペーンによる大規模な悪用の可能性が高まり、ユーザーの信頼とプラットフォームの整合性を損なう可能性があります。

緩和策

ecodotempo.com.br の認証されていないエリアのメインページで見つかった保存型XSS脆弱性を修正するには、以下のアクションを実行する必要があります。

すべてのユーザー入力は、保存またはレンダリングされる前に、クライアント側とサーバー側の両方で適切にサニタイズおよび検証される必要があります。具体的には、HTMLコンテキストで表示される入力は、<、>、"、'、&などの特殊文字をエンコードしてスクリプトの実行を防ぐ必要があります。さらに、アプリケーションはデータが注入されるコンテキスト（HTML、JavaScript、属性、URLなど）に基づいて出力エンコーディングを実装する必要があります。

また、許可されていないスクリプトの実行を制限するためにコンテンツセキュリティポリシー（CSP）を適用し、インラインスクリプトや信頼できないソースからの外部スクリプトの読み込みを無効にすることを強く推奨します。定期的なコードレビューと自動化されたセキュリティテスト（OWASP ZAPやBurp Suiteなどのツールを使用）を開発ライフサイクルに組み込んで、将来同様の欠陥を検出および防止する必要があります。

最後に、すでに保存されている悪意のあるペイロードは特定され、システムから削除されて、既存のリスクを排除する必要があります。