Lỗi lọc output trong Drupal Plausible tracking cho phép Cross-Site Scripting

Lỗ hổng Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') trong Drupal Plausible tracking cho phép Cross-Site Scripting (XSS). Vấn đề này ảnh hưởng đến Plausible tracking: từ 0.0.0 đến trước 1.0.2.

• Vendor: Drupal. Product: Plausible tracking, machine name plausible_tracking.
• Các phiên bản từ 0.0.0 đến trước 1.0.2 được xác định là bị ảnh hưởng theo semver.
• Drupal advisory chỉ rõ bản sửa là 1.0.2. Không có nhánh song song hoặc trạng thái của các nhánh phát hành khác được xác nhận trong evidence hiện có.

Drupal Plausible tracking không lọc output đúng cách trong một số trường hợp, tạo ra lỗ hổng CWE-79, Cross-Site Scripting. Điều kiện khai thác được vendor nêu là kẻ tấn công phải có quyền thêm raw HTML vào website, chẳng hạn thông qua một trường WYSIWYG không lọc trong comment công khai. Khi nội dung bị ảnh hưởng được hiển thị cho người dùng khác, dữ liệu chưa được trung hòa có thể được trình duyệt xử lý như script. Advisory không nêu endpoint, template, output sink hoặc ngữ cảnh encoding cụ thể, vì vậy các chi tiết triển khai này vẫn chưa được xác định. Phạm vi ảnh hưởng được ghi nhận cho module Plausible tracking của Drupal.

Lỗ hổng có thể được tiếp cận qua mạng thông qua các trang web do Drupal tạo ra. Advisory của Drupal cho biết kẻ tấn công cần quyền thêm raw HTML, nhưng metadata chấm điểm được cung cấp lại mô hình hóa điều kiện đặc quyền là không yêu cầu; khi đánh giá môi trường thực tế, nên dựa trên quyền Drupal và quy trình xuất bản nội dung đang được cấu hình. Người dùng phải tương tác với hoặc tải nội dung bị ảnh hưởng để XSS thực thi. Record mô tả attack complexity là thấp và không xác định một bước xác thực bổ sung ngoài điều kiện quyền nội dung nêu trên. Record được cung cấp không xác định public exploit hoặc chiến dịch khai thác đã biết; enrichment trả về trạng thái exploitation là none, nhưng điều này không chứng minh rằng việc khai thác là không thể.

XSS thành công có thể chạy JavaScript trong browser context của người dùng xem nội dung bị ảnh hưởng. Tùy quyền của người dùng đó, script có thể đọc dữ liệu được hiển thị cho họ hoặc thực hiện các thao tác mà phiên làm việc của họ được phép thực hiện. Record mô tả tác động đến confidentiality và integrity ở mức hạn chế, trong khi không xác định tác động đến availability. Tác động thực tế còn phụ thuộc vào nội dung được render, quyền của nạn nhân, CSP và các cơ chế bảo vệ trình duyệt. Evidence không cho thấy lỗ hổng này tự nó dẫn đến thực thi mã trên máy chủ hoặc ảnh hưởng mọi người dùng của site.

Các site Drupal sử dụng Plausible tracking có thể phải đối mặt với việc script không được tin cậy chạy trong trình duyệt của người dùng khi nội dung bị ảnh hưởng được hiển thị. Tùy quyền của người dùng nạn nhân và chính sách bảo vệ trình duyệt, hậu quả có thể gồm đọc dữ liệu mà người dùng được phép xem hoặc thực hiện hành động thay mặt họ trong phạm vi phiên làm việc. Rủi ro đáng chú ý hơn trên các site có comment công khai, WYSIWYG không lọc hoặc workflow cho phép nhiều tài khoản đưa raw HTML vào nội dung. Evidence hiện có không xác nhận việc rò rỉ dữ liệu, chiếm quyền tài khoản, xâm nhập máy chủ hoặc gián đoạn dịch vụ đã xảy ra.

1. Nâng cấp module Plausible tracking cho Drupal lên chính xác phiên bản 1.0.2, là bản được Drupal advisory xác nhận đã sửa lỗi.
2. Kiểm tra inventory và lockfile hoặc manifest của site để bảo đảm bản đang chạy thực sự đã được thay thế, sau đó xác minh lại phiên bản trong môi trường production.
3. Trong khi chưa thể nâng cấp, rà soát và hạn chế quyền thêm raw HTML, đặc biệt trong comment công khai và các trường WYSIWYG không lọc. Đây là biện pháp giảm exposure dựa trên điều kiện khai thác mà advisory nêu, không thay thế bản sửa.
4. Rà soát nội dung đã được tạo bởi các tài khoản có quyền này và kiểm tra các trang công khai có render nội dung đó.
5. Không suy ra rằng mọi nhánh phát hành sau hoặc nhánh song song đều an toàn nếu chưa có xác nhận riêng từ vendor.

1. Kiểm kê các site Drupal đang cài module có machine name plausible_tracking, sau đó kiểm tra phiên bản triển khai theo ranh giới bị ảnh hưởng.
2. Rà soát role và permission có khả năng thêm raw HTML, đặc biệt các quy trình nhập nội dung qua comment công khai hoặc WYSIWYG.
3. Kiểm tra nội dung công khai được tạo hoặc chỉnh sửa bởi các tài khoản có quyền này, tập trung vào các vị trí được module render.
4. Có thể xem xét CSP violation reports, cảnh báo trình duyệt và thay đổi bất thường trong nội dung như biện pháp giám sát bổ sung. Đây là tín hiệu phòng ngừa chung, không phải indicator được advisory xác nhận.
5. Advisory không cung cấp IOC hoặc log signature cụ thể. Việc không thấy bằng chứng trong log không chứng minh hệ thống an toàn.