Existe un problema de XSS almacenado en Appspace 6.2.4. Una vez que un usuario se autentica e ingresa una carga útil XSS en la sección de grupos de la pestaña de red, se almacena como el nombre del grupo. Siempre que otro miembro visita ese grupo, esta carga útil se ejecuta.
Vulnerabilidad almacenada de secuencias de comandos entre sitios en appspace Web Framework versión 6.2.4
Se observó una vulnerabilidad de secuencias de comandos de sitios cruzados almacenados en la plataforma de espacio de aplicaciones versión 6.2.4. Después de que un usuario se autentica e ingresa una carga útil xss en la sección de grupos de la pestaña de red, se almacena como el nombre del grupo. Siempre que otro jugador o miembro visita ese grupo, esta carga útil se ejecuta.
Severidad: alta
Pasos para reproducir:
- Iniciar sesión en el espacio de aplicaciones
- Vaya a la pestaña de administración en el menú desplegable de la izquierda y seleccione Usuarios.
- Cree un grupo en cualquier red con carga útil xss (use la misma carga útil que se indica en el POC) en el campo Nombre y guarde.
- La carga útil de Xss aparecerá en la pantalla
Impacto: se puede invitar a los usuarios a unirse a un grupo de red con carga útil xss en el nombre del grupo y, una vez que un nuevo usuario abre este grupo, aparecerá xss y, por lo tanto, el atacante podría robar las cookies de sesión, redirigir al usuario a un sitio de phishing, robar datos usando JS registrador de teclas, etc.
Referencias:
https://github.com/viperbluff/Appspace-Ver-6.2.4-Stored-Xss
Gracias por visitar este sitio, espero que te haya gustado y vuelvas proximamente, compartela en las redes sociales, gracias
Fecha actualización el 2021-02-24. Fecha publicación el 2021-02-24. Categoría: vulnerabilidad Autor: Oscar olg Mapa del sitio Fuente: NIST