CVE-2021-43032

No XenForo ≤ 2.2.7, um ator de ameaça com acesso ao painel de administração pode salvar payloads de cross-site scripting em qualquer função da aplicação que aceite código HTML. Um payload colocado na funcionalidade 'Advertising' será executado globalmente no lado do cliente, permitindo múltiplos cenários de exploração, enquanto outros payloads serão executados no lado do cliente dependendo de onde foram armazenados.

Créditos: John Jackson @johnjhacking & Jackson Henry @JacksonHHax

Passos para Reproduzir

1. Faça login no painel de administração localizado em /admin.php
2. Crie um novo anúncio e armazene o payload no corpo HTML.
3. Navegue até o lado do cliente e você verá o alerta pop-up universalmente em toda a aplicação.
4. Você pode armazenar scripts que serão executados em diferentes partes da aplicação. Como outro exemplo, aqui está o processo de armazenar script malicioso na funcionalidade de nó.
5. Ir para o lado do cliente e navegar até o nó específico resulta na execução.

Impacto

O maior risco dessa vulnerabilidade seria um usuário mal-intencionado executando ações ocultas embutidas em páginas HTML extensas, como mineração de criptomoedas ou exfiltração de dados. Isso poderia ser um usuário com acesso preexistente à aplicação, ou um ator de ameaça que obtém credenciais por meio de apropriação de conta ou engenharia social.