security-avs/cve-2019-13633Prova de conceito para uma vulnerabilidade XSS cega/persistente no helpdesk do Blinger.io, possibilitando roubo de sessão remota e coleta de dados através de canais de comunicação integrados.
[Descrição sugerida]: Blinger.io v.1.0.2519 é vulnerável a XSS Cego/Persistente.
[Informações adicionais]: Blinger.io - é uma plataforma usada por clientes globais como FxPro, Alfa Bank, OneTwoTrip, Ivi, KupiVIP Group, Belavia, Wargaming, Yandex, OZON, TCS Group Holding e outros. Realizar este ataque permite que criminosos coletem informações críticas sobre clientes das empresas alvo e se torne um ponto base para muitos outros vetores de ataque. Um atacante pode enviar código JavaScript arbitrário por meio dos canais de comunicação integrados, como Telegram, WhatsApp, Viber, Skype, Facebook e assim por diante. O código é executado nos seguintes painéis:
[Tipo de vulnerabilidade]: Cross Site Scripting (XSS)
[Fornecedor do produto]: https://blinger.io/
Uma carta foi enviada ao fornecedor sobre a vulnerabilidade. A vulnerabilidade foi confirmada pelo fornecedor.
[Componente afetado]:
https://app.blinger.io/conversations/all
https://app.blinger.io/conversations/inbox
https://app.blinger.io/conversations/unassigned
https://app.blinger.io/conversations/closed
[Base de código do produto afetado]: Blinger Omnichannel helpdesk para suporte ao cliente e vendas - v.1.0.2519
[Tipo de ataque]: Remoto
[Impacto de negação de serviço]: Falso
[Impacto de divulgação de informações]: Verdadeiro
[Vetores de ataque]:
O atacante envia código JavaScript malicioso por meio dos canais de comunicação integrados à página web do cliente. O código JavaScript transmitido será executado no painel de administração do serviço de Help Desk, permitindo que o atacante roube cookies de sessão, realize ataques de phishing, colete informações críticas sobre os clientes do cliente, etc.
[Descoberto por]: Alexander Semenenko, Luka Safonov.
[Referência]
https://blinger.io/
https://help.blinger.io/changelog
[Prova de conceito]:
Execução de código malicioso e reflexão em https://xsshunter.com/:
