minendie/poc_cve-2024-40492Доказательство концепции для CVE-2024-40492: хранимая XSS-уязвимость в heartbeat.chat, приводящая к захвату аккаунта. Включает шаги воспроизведения и анализ воздействия.
Stored Cross-Site Scripting (XSS) — это тип уязвимости безопасности, обычно встречающийся в веб-приложениях. Она возникает, когда злоумышленник может внедрить вредоносные скрипты в веб-приложение, и эти скрипты сохраняются на сервере. Когда другие пользователи получают доступ к данным, содержащим вредоносный скрипт, скрипт выполняется в их браузерах.
giongfnef"><h1>test</h1>">
giongfnef">
giongfnef -> XSS срабатывает -> это XSS с сохранением (Stored XSS), который может привести к получению контроля над учетной записью (Account Take Over)После срабатывания XSS я могу перейти к получению контроля над учетной записью. Поскольку это XSS с сохранением, любой пользователь, просматривающий раздел пользователей или выполняющий поиск пользователя giongfnef, вызовет XSS, и его сессия будет украдена.
Чтобы предотвратить уязвимости XSS с сохранением, следуйте этим рекомендациям:
Спасибо за чтение, хорошего дня!