CVE-2017-8898

Stored XSS w Invision Power Board umożliwiający privilege escalation do admina

CVSS 9.8v3.0pub. 2017-05-11upd. 2026-05-13

Invision Power Services (IPS) Community Suite w wersji 4.1.19.2 i wcześniejszych zawiera podatność typu stored XSS w module Announcements. Umożliwia ona moderatorowi forum eskalację uprawnień do poziomu administratora.

▸ Pokaż oryginał (EN)

Invision Power Services (IPS) Community Suite 4.1.19.2 and earlier has stored XSS in the Announcements, allowing privilege escalation from an Invision Power Board moderator to an admin. An attack uses the announce_content parameter in an index.php?/modcp/announcements/&action=create request. This is related to the "<> Source" option.

🤖 Analiza AI

Jak działa

Atakujący posiadający uprawnienia moderatora może wstrzyknąć złośliwy kod JavaScript poprzez parametr announce_content w żądaniu tworzenia ogłoszenia (index.php?/modcp/announcements/&action=create). Podatność jest powiązana z opcją '<> Source', która pozwala na bezpośrednie wprowadzanie kodu HTML/JS. Wstrzyknięty skrypt jest trwale zapisywany w bazie danych i wykonywany w przeglądarce każdej osoby przeglądającej ogłoszenie — w tym administratora.

Skutki

Atakujący z uprawnieniami moderatora może przejąć sesję administratora lub wykonać działania w jego imieniu, uzyskując pełną kontrolę nad platformą forum.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami i zaktualizować platformę do wersji nowszej niż 4.1.19.2.

Kogo dotyczy

Invision Power Services (IPS) Community Suite w wersji 4.1.19.2 i wcześniejszych

Uwagi

Mimo klasyfikacji CWE-79 (XSS), podatność skutkuje privilege escalation (LPE) z moderatora do administratora, co uzasadnia ocenę CVSS 9.8. Publicznie dostępny opis exploita wskazany w referencjach (zeroday.insecurity.zone).