CVE-2019-13363

Piwigo 2.9.5 — XSS możliwy do exploitacji przez CSRF w module powiadomień

CVSS 9.6v3.1pub. 2019-09-13upd. 2024-11-21

W aplikacji Piwigo 2.9.5 strona administracyjna obsługująca powiadomienia e-mail (admin.php?page=notification_by_mail) zawiera podatność XSS w wielu parametrach formularza. Podatność jest szczególnie groźna, ponieważ może być wyzwolona zdalnie przez atakującego bez uwierzytelnienia — poprzez mechanizm CSRF.

▸ Pokaż oryginał (EN)

admin.php?page=notification_by_mail in Piwigo 2.9.5 has XSS via the nbm_send_html_mail, nbm_send_mail_as, nbm_send_detailed_content, nbm_complementary_mail_content, nbm_send_recent_post_dates, or param_submit parameter. This is exploitable via CSRF.

🤖 Analiza AI

Jak działa

Atakujący może wstrzyknąć złośliwy kod JavaScript do jednego z podatnych parametrów: nbm_send_html_mail, nbm_send_mail_as, nbm_send_detailed_content, nbm_complementary_mail_content, nbm_send_recent_post_dates lub param_submit. Podatność XSS jest exploitowalna przez CSRF, co oznacza, że atakujący może nakłonić zalogowanego administratora do odwiedzenia spreparowanej strony, która automatycznie prześle żądanie z wstrzykniętym payloadem. W efekcie złośliwy skrypt zostanie wykonany w kontekście przeglądarki ofiary z uprawnieniami zalogowanego administratora.

Skutki

Atakujący może przejąć sesję administratora, wykonywać działania w jego imieniu, modyfikować zawartość serwisu lub wykradać poufne dane przechowywane w przeglądarce ofiary. Połączenie XSS i CSRF umożliwia przeprowadzenie ataku bez jakiejkolwiek interakcji ofiary poza odwiedzeniem złośliwej strony.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zalecane jest również wdrożenie mechanizmów ochrony przed CSRF (tokeny anty-CSRF) po stronie serwera oraz stosowanie nagłówków bezpieczeństwa Content-Security-Policy w konfiguracji serwera WWW.

Kogo dotyczy

Piwigo w wersji 2.9.5

Uwagi

Szczegółowy opis exploita został opublikowany na PacketStorm Security oraz w serwisie Full Disclosure (wrzesień 2019). Podatność obejmuje jednocześnie XSS (CWE-79) i CSRF (CWE-352), co podnosi jej rzeczywiste ryzyko pomimo braku wpisu w CISA KEV.