CVE-2021-43032

XenForo ≤ 2.2.7 において、管理パネルにアクセスできる脅威アクターは、HTMLコードを受け付けるアプリケーション内の任意の機能にクロスサイトスクリプティングペイロードを保存できます。「広告」機能内に配置されたペイロードはクライアント側でグローバルに実行され、複数の悪用シナリオを可能にしますが、他のペイロードは保存された場所に応じてクライアント側で実行されます。

クレジット: John Jackson @johnjhacking & Jackson Henry @JacksonHHax

再現手順

1. /admin.php にある管理パネルにログインします。
2. 新しい広告を作成し、HTML本文内にペイロード を保存します。
3. クライアント側に移動すると、アプリケーション全体でアラートポップアップが表示されます。
4. アプリケーションのさまざまな部分で実行されるスクリプトを保存できます。別の例として、ノード機能に悪意のあるスクリプトを保存するプロセスを示します。
5. クライアント側に移動し、特定のノードにアクセスすると実行されます。

影響

この脆弱性の最大のリスクは、広範なHTMLページに埋め込まれた秘密のアクション（暗号通貨のマイニングやデータの流出など）を悪意のあるユーザーが実行することです。これは、アプリケーションに既存のアクセス権を持つユーザー、またはアカウント乗っ取りやソーシャルエンジニアリング手法によって認証情報を入手した脅威アクターである可能性があります。