Коллекция PoC-эксплойтов для исторических уязвимостей Bootstrap

Это статическая HTML-страница для обучения и исследований, объединяющая несколько концепт-эксплойтов (PoC) для исторических уязвимостей межсайтового скриптинга (XSS) во фреймворке Bootstrap.

Проект предназначен для того, чтобы предоставить исследователям безопасности, разработчикам и студентам безопасную и контролируемую среду для понимания и проверки этих конкретных уязвимостей без необходимости настраивать сложную серверную инфраструктуру.

---

⚠️ Важное предупреждение о безопасности

• Только для обучения и исследований: этот проект и весь его код предназначены исключительно для авторизованных и законных исследований в области безопасности и образовательных целей.
• Запрет на несанкционированные атаки: категорически запрещается использовать этот инструмент или любой из содержащихся в нём кодов для тестирования или атак на любые сайты, которыми вы не владеете или на которые у вас нет явного разрешения. Несанкционированное пентестирование является незаконным.
• Использование на свой страх и риск: вы несёте полную ответственность за все последствия использования этого проекта.

---

🚀 Возможности и включённые PoC

• Один статический файл: весь функционал объединён в одном HTML-файле, не требуется бэкенд или база данных.
• Ручное переключение версий: просто изменяя комментарии в HTML-файле, можно переключаться между различными репозиториями уязвимых версий Bootstrap — надёжно и стабильно.
• Повторный запуск: некоторые PoC оптимизированы для многократного запуска, что упрощает наблюдение и анализ.
• Чёткая маркировка уязвимостей: каждый PoC содержит явное указание соответствующего идентификатора CVE.

Список PoC

PoC #	漏洞编号 (CVE ID)	Описание уязвимости	Версии библиотеки (диапазон)
1	CVE-2019-8331	XSS из-за отсутствия очистки атрибута data-template компонента Tooltip	v4.x < v4.3.1 and v3.x < v3.4.1
2	CVE-2018-14040	XSS из-за отсутствия очистки атрибута data-parent компонента Collapse	v4.x < v4.1.2
3	CVE-2016-10735	XSS из-за отсутствия очистки атрибута data-target компонента Modal	v3.x < v3.4.0
4	CVE-2024-6485	XSS из-за отсутствия очистки атрибута data-loading-text плагина Button	v3.x < v3.4.1

---

🛠️ Как использовать

1. Получите файл: скачайте или клонируйте этот проект, чтобы получить файл test.html.
2. Отредактируйте файл: откройте test.html в любом текстовом редакторе (например, VS Code, Sublime Text, Блокнот и т.д.).
3. Выберите версию библиотеки:
   • В разделе <head> файла вставьте URL-адрес соответствующей версии в зависимости от того, какой PoC вы хотите протестировать (см. список выше).
4. Сохраните и откройте: сохраните изменённый файл test.html.
5. Откройте в браузере: откройте этот локальный HTML-файл в вашем браузере.
6. Запустите PoC: взаимодействуйте с соответствующим элементом PoC на странице (например, наведите курсор или кликните), чтобы вызвать уязвимость.

---

📜 Лицензия

Этот проект распространяется под лицензией MIT.