CVE-2025-65300

[Descrição]

CVE-2025-65300: Vulnerabilidade de Cross-Site Scripting (XSS) Armazenado na Plataforma SaaS Coohom

Data de divulgação: 2025-10-28 Última atualização: 2025-10-28 Repórter: Phisit Pupiw Fornecedor: Coohom CWE: CWE-79 – Cross-Site Scripting

---

[Resumo]

Foi identificada uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado na Plataforma SaaS Coohom, no módulo Configurações da Conta → Perfil → Endereço. Os dados fornecidos pelo usuário, armazenados nos campos Cidade, Estado e País/Região, são renderizados de volta ao cliente sem sanitização adequada ou codificação de saída sensível ao contexto. Isso permite que atacantes armazenem cargas maliciosas de JavaScript que são executadas sempre que a área do perfil afetada for visualizada. O problema afeta o build de produção feVersion=1760060603897 (verificado em 2025-10-28).

---

[Detalhes da Vulnerabilidade]

O frontend renderiza os dados do usuário diretamente de "window.SAAS_ENV.userInfo.{city, state, country}" sem sanitização ou escape, causando XSS armazenado quando cargas injetadas são armazenadas no banco de dados e posteriormente exibidas na interface. Exemplo de carga maliciosa "" Quando esta carga é inserida no campo Cidade, salva e a página de perfil é recarregada, JavaScript arbitrário é executado no navegador da vítima.

---

[Componentes Afetados]

Módulo: Configurações da Conta → Perfil → Campos de Endereço Campos: city, state, country Build de frontend afetado: feVersion=1760060603897 URL de produção: https://www.coohom.com/pub/saas/settings/account

---

[Impacto]

Um atacante pode realizar o seguinte:

• Executar JavaScript arbitrário no navegador da vítima
• Roubar cookies de sessão (sujeito às proteções do navegador)
• Executar ações em nome da vítima
• Redirecionar usuários ou injetar conteúdo malicioso
• Persistir scripts maliciosos afetando todas as visualizações futuras

---

[Vetor de Ataque]

• Acesso necessário: usuário autenticado
• Tipo de ataque: Remoto
• Interação do usuário: Visualizar a página de perfil afetada

---

[Fluxo de Ataque]

1. O atacante faz login ou registra uma conta Coohom
2. Navega até Configurações da Conta → Perfil → Endereço
3. Insere a carga maliciosa em Cidade, Estado ou País/Região
4. Salva o formulário
5. O script é executado sempre que a seção de perfil é renderizada

---

[Prova de Conceito (PoC)]

Passos para Reproduzir

1. Faça login na Coohom (https://www.coohom.com)
2. Abra Configurações da Conta → Perfil → Endereço
3. Insira a carga abaixo no campo Cidade ""
4. Salve e atualize a página
5. O JavaScript é executado imediatamente → confirmando armazenado

---

[Recomendação]

• Sanitizar a entrada ao salvar
• Rejeitar tags HTML e atributos perigosos
• Codificar HTML
• Codificar JavaScript
• Codificar atributos
• Implementar Content-Security-Policy (CSP)
• Desativar scripts inline com script-src 'self'

---

[Referências]

• https://www.coohom.com/pub/saas/settings/account
• Status do registro CVE (MITRE): CVE-2025-65300 (RESERVADO)

---

[Créditos]

Descoberto por : Phisit Pupiw