l0nax/cve-2019-15053(FAB-2019-00156) Vulnerability discoverd by me CVE-2019-15053
(FAB-2019-00156) 由我发现的漏洞 CVE-2019-15053
公告：advisory.txt
Advisory ID..........: FAB-2019-00156
Product..............: HTML Include and replace macro
Manufacturer.........: The Plugin People
Affected Version(s)..: 1.4.2 and before
Tested Version(s)....: 1.4.2
Vulnerability Type...: Cross-Site Scripting (CWE-79)
Risk Level...........: Medium
CVSS v3.0............: 6.8
Vektor String........: CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:L/A:L/E:F/RL:W
Vendor Homepage......: https://thepluginpeople.atlassian.net/
Software Link........: https://marketplace.atlassian.com/apps/4885/html-include-and-replace-macro
Solution Status......: Reported
Manufacturer Informed: 2019-08-13
Solution Date........: 2019-08-14
Public Disclosure....: 2019-08-14
CVE Reference........: CVE-2019-15053
Author of Advisory...: Francesco Emanuel Bennici, FABMation GmbH
此安全漏洞由 FABMation GmbH 的 Francesco Emanuel Bennici [email protected] 发现。
Confluence Server 的 HTML Include and replace macro 插件增加了在 Confluence 站点内“导入”外部 HTML 站点的能力。该插件/宏提供了禁用 JavaScript（和/或）CSS 样式的功能。
即使将 "includeScripts" 设置为 false，攻击者也可以准备一个 HTML 页面在 Confluence 上运行 JavaScript 代码。
启用或禁用 "includeStyles" 并不影响漏洞利用的功能。
可在 poc/ 下找到可用的 PoC/漏洞利用。将文件上传到可公开访问的服务器，并将 index.html 包含在 Confluence 页面中（并禁用 JavaScript）。现在你可以与（例如）系统管理员共享该 Confluence 页面，如果他访问该站点，你可以劫持/“复制”他的会话。