CVE-2025-25747 - Отраженная XSS уязвимость в HotelDruid 3.0.7

Описание

Уязвимость межсайтового скриптинга (XSS) в DigitalDruid HotelDruid v.3.0.7 позволяет злоумышленнику выполнять произвольный код и получать конфиденциальную информацию через параметр ripristina_backup в конечной точке crea_backup.php

---

Серьезность и воздействие

Воздействие

Злоумышленник может обмануть аутентифицированного пользователя, заставив его посетить специально созданный URL, который вызовет выполнение вредоносного JavaScript в его браузере. Возможные последствия включают:

• Перехват сессии: Злоумышленник может украсть cookie сессии, получив несанкционированный доступ к учетной записи пользователя.
• Фишинг или доставка вредоносного ПО: Пользователь может быть перенаправлен на вредоносные сайты, или скрипты, контролируемые злоумышленником, могут внедрить вредоносный контент непосредственно в интерфейс.
• Злоупотребление административными привилегиями: При эксплуатации против администратора злоумышленник может изменить настройки системы или манипулировать конфиденциальными данными.

---

Доказательство концепции (PoC)

PoC 1 - Инъекция оповещения

http://localhost/hoteldruid/crea_backup.php?anno=2025&id_sessione=<valid_session_id>&azione=SI&ripristina_backup=%22%3E%3CscrIpt%3Ealert%28%27Huy%20Vo%20Found%20This%20Vulnerability%27%29%3B%3C%2FscrIpt%3E&dati_conn=attuali&mantieni_anni=1

Результат: Всплывающее окно с сообщением «Huy Vo Found This Vulnerability» подтверждает успешное выполнение XSS.

PoC 2 - Внешнее перенаправление

http://localhost/hoteldruid/crea_backup.php?anno=2025&id_sessione=<valid_session_id>&azione=SI&ripristina_backup="><scrIpt>window.location.href='https://www.facebook.com';</scrIpt>&dati_conn=attuali&mantieni_anni=1

Результат: Браузер автоматически перенаправляет на Facebook.

---

Анализ

Предыстория

HotelDruid — это система управления объектами недвижимости с открытым исходным кодом, используемая для управления бронированием, номерами и выставлением счетов в отелях, гостиницах типа «постель и завтрак» и других предприятиях гостиничного бизнеса. Она основана на веб-технологиях, обычно устанавливается на локальных серверах и доступна через браузер. Учитывая ее веб-интерфейс и административный характер, надежная безопасность имеет решающее значение — особенно для аутентифицированных функций.

---

Детали уязвимости

Конечная точка crea_backup.php обрабатывает параметр ripristina_backup без санитизации или кодирования, напрямую отражая пользовательский ввод на странице. Это позволяет злоумышленнику создать вредоносный URL, который внедряет произвольный JavaScript на страницу, отображаемую для аутентифицированного пользователя.

Ключевые технические детали

• Затронутый параметр: ripristina_backup
• Затронутая конечная точка: crea_backup.php
• Тип атаки: Отраженный межсайтовый скриптинг (XSS)
• Предварительное условие: Требуется действующая аутентифицированная сессия (id_sessione)

Порядок атаки

1. Злоумышленник создает вредоносный URL с полезной нагрузкой, внедренной в ripristina_backup.
2. Злоумышленник отправляет этот URL аутентифицированной жертве (например, по фишинговому письму, сообщению в чате).
3. Жертва переходит по URL, будучи аутентифицированной, что запускает вредоносный JavaScript в ее браузере.
4. Скрипт выполняется в контексте сессии жертвы, что позволяет:
   • Кража cookie сессии (если HttpOnly не установлен)
   • Перенаправление на сайты, контролируемые злоумышленником
   • Внедрение вредоносного контента в интерфейс

---

Смягчение / Патчинг

Рекомендации для разработчиков

• Проверка ввода: Проверяйте все вводимые пользователем данные на стороне сервера.
• Кодирование вывода: Правильно кодируйте весь вывод перед отображением (например, используйте htmlspecialchars() в PHP для кодирования символов < и >).
• Политика безопасности контента (CSP): Реализуйте строгую политику безопасности контента, чтобы уменьшить воздействие внедренных скриптов.
• Управление сессиями: Убедитесь, что сессии не раскрываются в параметрах GET (используйте безопасные cookie с флагами HttpOnly и SameSite).

---

Временная шкала и благодарности

• Дата обнаружения: 16 января 2025 г.
• Уведомление поставщика: 17 января 2025 г.
• Назначение CVE MITRE: CVE-2025-25747, 27 февраля 2025 г.
• Публичное раскрытие: 7 марта 2025 г.
• Исследователь: Huy Vo (Исследователь безопасности)