MAL-012：Payara Server 管理控制台中的反射型跨站脚本（XSS）导致远程代码执行（RCE）

在 Payara 管理控制台中发现了一个反射型跨站脚本（XSS）攻击。通过诱骗管理员用户访问恶意 URL 并点击"Choose File"按钮，攻击者可以运行任意 JavaScript 代码，从而冒充该用户并利用管理员功能进行恶意操作。

由于该 XSS 位于 Payara 管理控制台中，攻击者可以利用它执行任意请求，借助管理员功能（例如 H2 连接字符串、Web 应用程序部署等）来实现远程代码执行（RCE）。

为什么没有 CVE？

懒得为 2022 年的一个反射型 XSS 申请 CVE，但由于我非常喜欢基于异步 fetch 的 JS 脚本实现 RCE，以及 " target="_blank" 这个 HTML 技巧，我决定发布这篇 writeup。希望你觉得它有用/有趣。

要求：

此漏洞需要：

• 诱骗合法的 Payara Server 管理员用户访问恶意 URL 并点击"Choose File"按钮

概念验证（PoC）：

更多细节和利用过程可在以下 PDF 中找到。

时间线：

• H2 RCE 于 2022年3月22日 报告给 [email protected]
• RCE 被视为非问题，因为它发生在管理控制台中的认证后阶段，而该控制台本身还包含部署 WAR 等其他核心功能
• 于 2022年3月25日 发现并报告了管理控制台中的反射型 XSS，可利用该 XSS 实现 RCE
• 于 2022年4月1日 发送了最后一封邮件，此后未收到任何回复
• 于 2025年4月13日 公开披露了该漏洞