rrespxwnss/cve-2025-56772
Durante a análise do site ecodotempo.com.br, foi descoberta uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado. Essa vulnerabilidade permite que um atacante injete scripts maliciosos em campos que são posteriormente renderizados para outros usuários sem a devida sanitização, especificamente na página principal da área não autenticada (deslogada).
Durante a análise do site ecodotempo.com.br, foi descoberta uma vulnerabilidade de Cross-Site Scripting (XSS) Armazenado. Essa vulnerabilidade permite que um atacante injete scripts maliciosos em campos que posteriormente são renderizados para outros usuários sem a devida sanitização, especificamente na página principal da área não autenticada (deslogada).
ecodotempo.com.br/colecoes/cadastrar_realizar.php
name="nome" and name="descricao"
<script>alert(document.cookie)</script>
Durante a análise do site ecodotempo.com.br, foi descoberta uma vulnerabilidade de Cross-Site Scripting (XSS) Armazenado. Essa vulnerabilidade permite que um atacante injete scripts maliciosos em campos que posteriormente são renderizados para outros usuários sem a devida sanitização, especificamente na página principal da área não autenticada (deslogada).
O script injetado foi armazenado de forma persistente no backend da aplicação e executado no navegador de qualquer visitante que acessasse a página afetada, sem mecanismos de escape ou proteção via Política de Segurança de Conteúdo (CSP) em vigor.
Durante os testes no ecodotempo.com.br, a vulnerabilidade de XSS armazenado foi identificada especificamente no processo de criação de coleções de itens. Foi possível injetar um payload malicioso nos campos de nome ou descrição da coleção, sem mecanismos de mitigação ativos — como validação de entrada, filtros a nível de código, Web Application Firewall (WAF) ou cabeçalhos HTTP de segurança.
Após criar a coleção contendo o script malicioso, realizar logout e acessar novamente a página principal de login, o payload foi automaticamente executado no navegador, resultando na exibição de um pop-up. No teste, isso foi usado para demonstrar a extração de cookies. Esse comportamento confirma a falta de sanitização adequada e a possibilidade real de execução arbitrária de scripts no contexto do navegador da vítima. Veja a seção de evidências abaixo para um exemplo.
Nota: Além do roubo de cookies, essa vulnerabilidade poderia ser explorada para diversos fins maliciosos, como redirecionar usuários para sites prejudiciais, exfiltrar dados sensíveis, alterar o conteúdo da página para ataques de phishing ou executar ações em nome do usuário, conforme descrito anteriormente na seção de impacto.
A presença de uma vulnerabilidade de XSS armazenado na página principal da área não autenticada do ecodotempo.com.br representa um risco significativo de segurança. Como o script injetado é armazenado permanentemente e servido a todos os usuários que acessam a página afetada, abre-se caminho para uma série de ataques do lado do cliente. Um atacante poderia explorar essa falha para executar JavaScript arbitrário no navegador de visitantes desavisados, potencialmente roubando cookies de sessão, redirecionando usuários para sites maliciosos, realizando ações em nome dos usuários sem seu consentimento ou manipulando o conteúdo da página para realizar tentativas de phishing. Como a vulnerabilidade está exposta em uma área publicamente acessível, aumenta a probabilidade de exploração em escala, especialmente por bots automatizados ou campanhas direcionadas, podendo prejudicar a confiança do usuário e a integridade da plataforma.
Para remediar a vulnerabilidade de XSS armazenado encontrada na página principal da área não autenticada do ecodotempo.com.br, as seguintes ações devem ser tomadas:
Todo input do usuário deve ser devidamente sanitizado e validado tanto no lado do cliente quanto no lado do servidor antes de ser armazenado ou renderizado. Especificamente, qualquer entrada que será exibida no contexto HTML deve ter caracteres especiais como <, >, ", ' e & codificados para evitar a execução de scripts. Além disso, a aplicação deve implementar codificação de saída com base no contexto onde os dados são injetados (HTML, JavaScript, atributo, URL, etc.).
Também é fortemente recomendado aplicar uma Política de Segurança de Conteúdo (CSP) para limitar a execução de scripts não autorizados, e desabilitar scripts inline e carregamento de scripts externos de fontes não confiáveis. Revisões regulares de código e testes automatizados de segurança (por exemplo, com ferramentas como OWASP ZAP ou Burp Suite) devem ser incorporados ao ciclo de desenvolvimento para detectar e prevenir falhas semelhantes no futuro.
Por fim, quaisquer payloads maliciosos já armazenados devem ser identificados e removidos do sistema para eliminar riscos existentes.