Skip to content
KitploitKITPLOIT
ИнструментыБлог
Отправить
ИнструментыБлог
Отправить

Инструменты для хакинга, пентеста и кибербезопасности — ваш арсенал защиты!

Kitploit — это каталог инструментов для хакинга, кибербезопасности и пентестинга. Находите последние обновления проектов для поиска уязвимостей, анализа систем, автоматизации тестирования и усиления вашей безопасности.

··Ленты·Контакты·Конфиденциальность·© 2026 Kitploit

Каталог инструментов

Категории

Все категории
Loading categories
CVE-2025-69606-GSVoIP-XSS — Доказательство концепции для отражённой XSS-уязвимости (CVE-2025-69606) в GSVoIP Web Panel v2.0.90, демонстрирующее неаутентифицированное произвольное выполнение JavaScript через параметр msg. | Kitploit
Инструменты/GitHubGitHub/razielx64/cve-2025-69606-gsvoip-xss
Анализ уязвимостейЭксплуатация веб-приложенийФишингВеб-безопасностьСоциальная инженерияОбучение и Образование
GitHubrazielx64/cve-2025-69606-gsvoip-xss

CVE-2025-69606-GSVoIP-XSS

Доказательство концепции для отражённой XSS-уязвимости (CVE-2025-69606) в GSVoIP Web Panel v2.0.90, демонстрирующее неаутентифицированное произвольное выполнение JavaScript через параметр msg.

Репозиторий
54 месяцев назадЕщё не проверено

Популярное

Смотреть все →

Откройте для себя самые используемые инструменты нашего сообщества.

Изучить все инструменты

Просмотрите нашу коллекцию инструментов

Смотреть все инструменты →
Поделиться

CVE-2025-69606 — Отражённый XSS в GSVoIP Web Panel

Severity: Средний  |  CWE: CWE-79  |  Auth Required: Нет  |  Vector: Удалённый

Краткое описание

Уязвимость Reflected Cross-Site Scripting (XSS) была обнаружена в GSVoIP Web Panel (v2.0.90). Параметр msg конечной точки ошибки не санирует вводимые пользователем данные перед их отражением в HTML-ответе, что позволяет выполнить произвольный JavaScript в браузере жертвы.

Поражённый продукт

ПолеОписание
ПродуктGSVoIP Web Panel
Версия2.0.90 (возможно, более ранние версии)
ВендорSolutions VoIP (GS Solutions)
CWECWE-79 — Межсайтовый скриптинг
Вектор атакиУдалённо / Сеть
АутентификацияНе требуется

Уязвимая конечная точка

root@kitploit:~
GET /painel/gateways.php/error?msg=<payload>

Параметр msg отражается непосредственно в HTML-ответе без санации или кодирования вывода.

Доказательство концепции

Полезная нагрузка

root@kitploit:~
https://{TARGET}/painel/gateways.php/error?msg=%3Cscript%3Ealert(1)%3C%2Fscript%3E

Декодировано:

root@kitploit:~
<script>alert(1)</script>

Результат

При переходе по созданному URL внедрённая полезная нагрузка выполняется в браузере жертвы:

root@kitploit:~
alert(1)

Сценарий атаки

  1. Злоумышленник создаёт вредоносный URL, содержащий XSS-полезную нагрузку в параметре msg.
  2. Жертву обманом заставляют перейти по ссылке (через фишинг, социальную инженерию и т.д.).
  3. Страница загружается, и внедрённый JavaScript выполняется в контексте браузера жертвы — аутентификация не требуется.

Воздействие

  • Произвольное выполнение JavaScript в браузере жертвы
  • Угон сессии через кражу cookie
  • Фишинг и атаки социальной инженерии
  • Извлечение конфиденциальных данных
  • Порча контента в контексте приложения

Рекомендации

  • Кодирование вывода: Кодируйте все вводимые пользователем данные перед отображением в HTML-ответах (как минимум использование HTML-сущностей).
  • Безопасное шаблонизирование: Используйте шаблонизатор с включённым автоэкранированием.
  • Политика безопасности контента (CSP): Внедрите строгую CSP с ограничительными директивами script-src.
  • Валидация ввода: Отклоняйте или удаляйте параметры, содержащие HTML-теги или последовательности скриптов на уровне ввода.

График раскрытия

ШагСобытие
1Уязвимость обнаружена и сообщена Luiz Eduardo
2Назначен CVE: CVE-2025-69606
3Публичное раскрытие

Благодарности

Обнаружено и сообщено Luiz Eduardo

CVE-2025-69606 · CWE-79 · GSVoIP Web Panel v2.0.90

Скачать инструмент