Dettagli CVE
Nelle versioni di XWiki Platform precedenti alla 12.8, alcuni campi, come “Azienda” nella sezione di modifica del profilo utente, sono vulnerabili ad attacchi di Stored Cross Site Scripting (XSS) a causa di una gestione impropria dell’escaping.
Riepilogo della Vulnerabilità
| Prodotto | CVE | Punteggio CVSSv3 | CWE |
|---|---|---|---|
| XWiki | CVE-2020-13654 | 7.5 (Alto) | CWE-116 |
Passaggi di Sfruttamento
Questa vulnerabilità consente a un attaccante di iniettare script dannosi in determinati campi (ad esempio, “Azienda”) nella sezione del profilo utente. Gli script vengono poi eseguiti nel browser di qualsiasi utente che visualizza la pagina.
Dettagli dell’Attacco:
Le vulnerabilità Stored XSS permettono agli attaccanti di inserire script in modo persistente all’interno di un’applicazione considerata affidabile. Quando gli utenti visualizzano la pagina compromessa, il browser esegue automaticamente il codice dannoso, che può essere utilizzato per:
- Rubare cookie o token di sessione.
- Compromettere account utente.
- Eseguire azioni non autorizzate a nome della vittima.
Passaggi per Riprodurre l’Attacco:
- Accedi come utente amministratore.
- Crea un nuovo utente di test.
- Vai alla pagina del profilo utente:
http://localhost/bin/view/XWiki/<user> - Clicca sul pulsante “Modifica” nella sezione “Informazioni personali”.
- Inserisci il seguente payload nel campo “Azienda”:
<script>alert();</script>
- Salva le modifiche e visualizza la pagina del profilo.
- Osserva l’esecuzione dell’XSS nel browser.
