CVE-2025-67730 – Межсайтовый скриптинг (XSS) с сохранением

Обзор

CVE ID: CVE-2025-67730 Тип уязвимости: Межсайтовый скриптинг (XSS) с сохранением Серьёзность: Средняя–Высокая (зависит от контекста)

Данная уязвимость позволяла аутентифицированным пользователям внедрять вредоносный HTML и JavaScript в поля описания форм Job, Course и Batch. Внедрённая полезная нагрузка автоматически выполнялась в браузере любого пользователя, который впоследствии просматривал затронутые Job, Course или Batch.

---

Затронутые компоненты

• Поле описания Job
• Поле описания Course
• Поле описания Batch

---

Воздействие

• Выполнение произвольного JavaScript в браузерах жертв
• Угон сессий
• Кража учётных данных
• Перехват учётной записи (в зависимости от уровня привилегий)
• Манипуляции с DOM и фишинг

Поскольку полезная нагрузка сохраняется, атака остаётся постоянной и затрагивает каждого пользователя, просматривающего скомпрометированный контент.

---

Сценарий атаки

1. Атакующий входит в систему с действительной учётной записью.
2. Атакующий создаёт или редактирует Job, Course или Batch.
3. Вредоносный JavaScript вставляется в поле описания.
4. Полезная нагрузка сохраняется в базе данных.
5. Любой пользователь, открывший затронутую страницу, запускает выполнение полезной нагрузки.

---

Подтверждение концепции (PoC)

">

Шаги для воспроизведения:

1. Войдите в систему как любой аутентифицированный пользователь.
2. Перейдите на страницу создания или редактирования Job / Course / Batch.
3. Вставьте полезную нагрузку в поле описания.
4. Сохраните форму.
5. Откройте созданный Job / Course / Batch.
6. JavaScript выполняется в браузере.

---

Коренная причина

• Отсутствие или недостаточная серверная санитизация HTML
• Небезопасная отрисовка данных, предоставленных пользователем
• Отсутствие кодирования вывода в шаблонах

---

Исправление / Смягчение

Официальный патч

• Исправлено в версии: 2.42.0

Внедрённые улучшения безопасности

• Правильная санитизация HTML на входе
• Безопасное кодирование вывода перед отрисовкой
• Ограничение исполняемых тегов и атрибутов

Рекомендуемые практики

• Всегда санитизируйте пользовательский ввод на стороне сервера
• Применяйте кодирование вывода в зависимости от контекста (HTML, JS, URL)
• Используйте доверенный санитайзер HTML (например, DOMPurify)
• Внедряйте политику безопасности контента (CSP)

---

Хронология

• Сообщил: Dharan Raghunathan
• Статус: Исправлено
• Релиз патча: Версия 2.42.0

---

Благодарность

Эта проблема была ответственно раскрыта Dharan Raghunathan.

---

Ссылки

• OWASP Stored XSS: https://owasp.org/www-community/attacks/xss/
• CWE-79: Improper Neutralization of Input During Web Page Generation
• Github Advisory: https://github.com/frappe/lms/security/advisories/GHSA-jjc4-j3hw-33h2

---

Отказ от ответственности

Этот документ предназначен только для образовательных целей и целей защиты.