
CVE-2024-41454, CVE-2024-41453
#CVE-2024-41453
#CVE-2024-41454
ProcessMaker 취약점 (교육 목적으로만 제공): @ryancooley @velkymx @nolanpro @caleeli
이 저장소에서 ProcessMaker 4 Core Docker 인스턴스를 설치하세요: https://github.com/ProcessMaker/pm4core-docker
이것은 최신 pm 도커 버전(PM_VERSION=4.1.21)이며, 아래 이미지는 .env 파일입니다.

XSS 페이로드가 포함된 json 파일을 생성합니다.
(sample.json이라는 샘플 파일을 업로드했습니다)
이 파일을 프로세스 관리자 사용자에게 보내고 파일을 프로세스로 가져오도록 요청합니다.

관리자 사용자가 이 파일을 가져오고 이 프로세스를 보관하려고 할 때 악성 자바스크립트 코드가 실행됩니다.
(chrome latest version: Version 126.0.6478.127 (Official Build) (64-bit))

가져오기 기능에 사용자 입력 검증이 부족하다는 것이 명백합니다.
관리자 사용자가 Customize UI의 커스텀 로그인 로고 업로드 섹션에서 HTML 파일을 업로드하고 이미지 제한을 우회할 수 있습니다.

업로드된 파일입니다:

또한 PHP 파일을 업로드할 수 있지만 실행되지는 않습니다.

업로더에 적절한 입력 검증이 부족합니다.