security-avs/cve-2019-13633
[推奨説明]: Blinger.io v.1.0.2519 は、Blind/Persistent XSS に対して脆弱です。
[追加情報]: Blinger.io は、FxPro、Alfa Bank、OneTwoTrip、Ivi、KupiVIP Group、Belavia、Wargaming、Yandex、OZON、TCS Group Holding などのグローバルクライアントが利用するプラットフォームです。この攻撃を実行することで、犯罪者は標的企業のクライアントに関する重要な情報を収集でき、他の多くの攻撃ベクトルの基点となります。攻撃者は、Telegram、WhatsApp、Viber、Skype、Facebook などの組み込み通信チャネルを介して任意の JavaScript コードを送信できます。コードは以下のパネル内で実行されます:
[脆弱性タイプ]: クロスサイトスクリプティング (XSS)
[製品ベンダー]: https://blinger.io/
脆弱性についてベンダーに通知が送付されました。脆弱性はベンダーによって確認されました。
[影響を受けるコンポーネント]:
https://app.blinger.io/conversations/all
https://app.blinger.io/conversations/inbox
https://app.blinger.io/conversations/unassigned
https://app.blinger.io/conversations/closed
[影響を受ける製品コードベース]: Blinger Omnichannel helpdesk（カスタマーサポート＆セールス向け）- v.1.0.2519
[攻撃タイプ]: リモート
[サービス拒否への影響]: False
[情報漏洩への影響]: True
[攻撃ベクトル]:
攻撃者は、顧客のWebページに組み込まれた通信チャネルを介して悪意のある JavaScript コードを送信します。送信された JavaScript コードはヘルプデスクサービスの管理パネルで実行され、攻撃者はセッションCookieの窃取、フィッシング攻撃の実行、顧客クライアントに関する重要な情報の収集などを行うことができます。
[発見者]: Alexander Semenenko, Luka Safonov.
[参考]
https://blinger.io/
https://help.blinger.io/changelog
[概念実証]:
https://xsshunter.com/ での悪意のあるコードの実行と反映:
