HAXCMS PHP 存储型XSS漏洞分析

漏洞概述 标题: Stored XSS via Case-Sensitivity Mismatch in HTML Upload Validation 描述: 摘要: 端点在验证上传文件时不区分大小写，并将文件名原样写入磁盘。然而， 规则强制 对 HTML 文件区分大小写。使用大写扩展名（如 ）上传的 HTML 文件会被视为 ，但强制下载头不会生效，导致浏览器将其作为内联 HTML 渲染并执行嵌入的 JavaScript。这绕过了 CVE-2020-22704 的缓解措施。 详细信息: - 上传路径和强制下载规则在扩展名大小写上存在分歧。 - 上传验证（ ）使用不区分大小写的 标志，接受任何大小写的扩展名。 - 文件名以原样写入磁盘，例如 。 - 强制下载规则（ 第 109 行）使用 ，区分大小写。 - 此规则匹配 和 ，但不匹配 、 或 。Apache 仍会将文件作为 提供，因为 MIME 解析不区分大小写，唯一控制内联渲染的是强制 头。 - 正确的修复是在上传时将扩展名转换为小写，这样 规则可以捕获任何 PHP 验证器接受的 HTML。切换到 到 是有用的次要防御，但不解决根本问题，即服务器保留用户控制的大小写。 影响范围 受影响版本: <= 25.0.0 修复版本: 26.0.0 严重程度: 高 (8.7 / 10) CVSS v3 基础指标: - 攻击向量: 网络 - 攻击复杂度: 低 - 所需特权: 低 - 用户交互: 必需 - 范围: 变更 - 机密性: 高 - 完整性: 高 - 可用性: 无 修复方案 修复版本: 26.0.0 建议: 在上传时将扩展名转换为小写，确保 规则能够正确捕获所有 HTML 文件。 POC 代码 利用步骤 1. 登录到 HAXCMS 部署（例如， ）。 2. 创建或打开一个站点从仪表板。 3. 通过 HAX 编辑器上传 。点击工具栏中的媒体/图像按钮，选择“上传文件”并从你的机器中选择 。上传成功，因为 PHP 验证器不区分大小写地匹配 。注意响应中的文件路径 - 它将是 。 4. 在浏览器中访问上传的文件在 。页面以内联方式渲染（不是下载），脚本执行。你将看到终端样式的输出，显示利用链的每一步在访问者自己的站点上完成。 5. 将链接发送给另一个已认证的用户。当他们打开时，相同的利用链将触发。他们不需要在你的站点上或与你有任何关系。 6. 检查你的 webhook。它将接收一个 JSON 有效负载，包含访问者的 JWT、用户名、user_token、form_token、站点计数以及每个站点的名称和页面计数。 影响 上传的 HTML 文件使用大写扩展名以内联方式渲染并执行任意 JavaScript 在 HAXcms 源中。如 POC 所示，这导致完全账户接管：攻击者获得访问者的 JWT、API 令牌和完整的站点清单，而无需访问者点击链接。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

HAXCMS PHP 存储型XSS漏洞分析

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

HAXCMS PHP 存储型XSS漏洞分析

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！