security-avs/cve-2019-13633Blinger.io 헬프데스크의 블라인드/지속적 XSS 취약점에 대한 개념 증명으로, 내장 통신 채널을 통해 원격 세션 탈취 및 데이터 수집을 가능하게 합니다.
[제안된 설명]: Blinger.io v.1.0.2519는 블라인드/지속적 XSS에 취약합니다.
[추가 정보]: Blinger.io는 FxPro, Alfa Bank, OneTwoTrip, Ivi, KupiVIP Group, Belavia, Wargaming, Yandex, OZON, TCS Group Holding 등 글로벌 클라이언트가 사용하는 플랫폼입니다. 이 공격을 수행하면 범죄자가 대상 회사의 클라이언트에 대한 중요한 정보를 수집하고 다른 많은 공격 벡터의 기본 지점이 될 수 있습니다. 공격자는 Telegram, WhatsApp, Viber, Skype, Facebook 등과 같은 내장 통신 채널을 통해 임의의 JavaScript 코드를 보낼 수 있습니다. 코드는 다음 패널 내에서 실행됩니다:
[취약점 유형]: Cross Site Scripting (XSS)
[공급업체]: https://blinger.io/
취약점에 대해 공급업체에 편지를 보냈습니다. 취약점은 공급업체에 의해 확인되었습니다.
[영향을 받는 구성 요소]:
https://app.blinger.io/conversations/all
https://app.blinger.io/conversations/inbox
https://app.blinger.io/conversations/unassigned
https://app.blinger.io/conversations/closed
[영향을 받는 제품 코드 베이스]: Blinger Omnichannel 고객 지원 및 영업용 헬프데스크 - v.1.0.2519
[공격 유형]: 원격
[서비스 거부 영향]: 거짓
[정보 공개 영향]: 참
[공격 벡터]:
공격자는 고객 웹 페이지에 내장된 통신 채널을 통해 악성 JavaScript 코드를 보냅니다. 전송된 JavaScript 코드는 Help Desk 서비스의 관리 패널에서 실행되어, 공격자가 세션 쿠키를 도용하고, 피싱 공격을 수행하며, 고객 클라이언트에 대한 중요한 정보를 수집하는 등을 가능하게 합니다.
[발견자]: Alexander Semenenko, Luka Safonov.
[참고]
https://blinger.io/
https://help.blinger.io/changelog
[개념 증명]:
악성 코드 실행 및 https://xsshunter.com/에서의 반영:
