CVE-2023-0743

XSS w Answer — przejęcie sesji i eskalacja uprawnień

CVSS 9.0v3.1pub. 2023-02-08upd. 2024-11-21

W aplikacji Answer (platforma Q&A open-source) w wersjach przed 1.0.4 wykryto podatność typu Cross-site Scripting (XSS). Umożliwia ona zdalnemu atakującemu wykonanie złośliwego kodu JavaScript w przeglądarce ofiary, co przy ocenie CVSS 9.0 (CRITICAL) stanowi poważne zagrożenie dla poufności, integralności i dostępności danych.

▸ Pokaż oryginał (EN)

Cross-site Scripting (XSS) - Generic in GitHub repository answerdev/answer prior to 1.0.4.

🤖 Analiza AI

Jak działa

Podatność polega na braku odpowiedniej walidacji i sanityzacji danych wejściowych w repozytorium answerdev/answer. Atakujący z podstawowymi uprawnieniami (zalogowany użytkownik) może wstrzyknąć złośliwy payload JavaScript do treści przesyłanej przez aplikację. Gdy ofiara odwiedzi spreparowaną stronę lub treść, jej przeglądarka wykona złośliwy skrypt w kontekście aplikacji. Wektor ataku obejmuje interakcję użytkownika (UI:R) oraz zmianę kontekstu (S:C — Scope Changed), co oznacza możliwość oddziaływania poza bezpośrednią sesję ofiary.

Skutki

Atakujący może przejąć sesję użytkownika (w tym administratora), uzyskać dostęp do poufnych danych, modyfikować treści aplikacji lub przeprowadzać dalsze ataki na użytkowników platformy. Wysoka ocena wpływu na poufność, integralność i dostępność (C:H/I:H/A:H) wskazuje na możliwość całkowitego przejęcia kontroli nad kontem ofiary.

Mitygacja

Należy zaktualizować aplikację Answer do wersji 1.0.4 lub nowszej. Poprawka została wprowadzona w commicie 860b1a3bd8cfaa8827e6e6f50ab1d98fa4c2c816 w repozytorium GitHub answerdev/answer.

Kogo dotyczy

Aplikacja Answer (answerdev/answer) w wersjach wcześniejszych niż 1.0.4.

Uwagi

Podatność została zgłoszona za pośrednictwem platformy huntr.dev (program bug bounty). Szczegóły dostępne pod adresem: https://huntr.dev/bounties/366cf8bb-19f6-4388-b089-d0a260efd863