CVE-2020-23839

CVE-2020-23839 | GetSimple CMS v3.3.16 - 反射型 XSS 到 RCE

Exploit 作者：Bobby Cooke (boku)

漏洞统计信息

• OWASP Top Ten 2017：A7:2017-跨站脚本 (XSS)
• CWE-79：在网页生成期间对输入的不当中和（'跨站脚本'）- 类型 1：反射型 XSS
• CVSS 基础评分：6.1 中危
• CVSS v3.1 向量：CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
• https://nvd.nist.gov/vuln/detail/CVE-2020-23839
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-23839

漏洞分析与问题完整披露

• https://github.com/GetSimpleCMS/GetSimpleCMS/issues/1330

漏洞描述：

• GetSimple CMS v3.3.16 的管理员登录门户存在反射型 XSS 漏洞。2020 年 8 月 12 日，厂商通过私人电子邮件收到了该漏洞的完整披露细节。2020 年 9 月 13 日，MITRE 通过发布 CVE-2020-23839 公开披露了该漏洞，但其中包含的细节很少，也没有概念验证。2021 年 1 月 20 日，完整披露和代码分析在 GetSimple CMS GitHub 活跃议题工单下公开披露。

Exploit 描述：

• 该 Exploit 以超链接的形式创建一个反射型 XSS 载荷，用于利用 CVE-2020-23839。当 GetSimple CMS 系统的管理员在浏览器中访问该 URL 并输入其凭据时，将启动一条复杂的利用攻击链，从而使远程攻击者能够在托管 GetSimple CMS 系统的服务器上获得远程代码执行权限。

攻击链：

1. 攻击者诱骗 GetSimple CMS 管理员访问此 Exploit 提供的 URL
2. 随后管理员在 GetSimple CMS 登录门户中输入其凭据
3. 当管理员点击提交按钮或按下回车键时，反射型 XSS 载荷触发 onAction
4. XSS 载荷在后台执行一次 XHR POST 请求，使浏览器登录到 GetSimple CMS 管理面板
5. 随后，XSS 载荷向 admin/edit-theme.php 发起第 2 次 XHR GET 请求，并收集 CSRF Token 与 CMS 所托管网页的已配置主题
6. 随后，XSS 载荷向 admin/edit-theme.php 发起第 3 次 XHR POST 请求，向 CMS 的所有页面注入 PHP 后门 WebShell
7. 该 Exploit 反复尝试连接目标 GetSimple CMS 系统的公共 /index.php 页面，直到返回一个 WebShell
8. 当 Exploit 连接到 WebShell 时，攻击者的控制台中会出现一个交互式 PHP WebShell

厂商信息

• 厂商主页：http://get-simple.info/download/