YaBB SE XSS Permanent
*********************
Informations :
같같같같같같같
Langage : PHP
Version : 1.5.5 et moins
Website : http://www.yabbse.org
Probl�me : XSS Permanent
Developpement :
같같같같같같같�
Yabb SE est un forum contenant une partie admin, une partie utilisateur avec profil, messages priv�s,...
Dans les messages priv�s et les messages sur le forum, il est possible d'utiliser du BBcode pour remplacer certains
�l�ments du HTML. Deux des balises du BBcode souffrent d'un probl�me de s�curit�; il s'agit de [glow] et [shadow].
En effet on peut voir dans le fichier Sources/Subs.php le code suivant :
-----------------------------------------------------------------------------------------------------------------------------
[...]
function doparsecodesmilies($message,$enableSmilies = 1)
{
global $codefromcache, $codetocache, $smileyfromcache, $smileytocache, $text, $scripturl, $imagesdir, $txt, $modSettings;
[...]
$codefromcache = array(
[...]
'/\[glow=(.+?),(.+?),(.+?)\](.+?)\[\/glow\]/eis',
'/\[shadow=(.+?),(.+?)\](.+?)\[\/shadow\]/eis',
[...]
);
$codetocache = array(
[...]
"''",
"''",
[...]
);
[...]
}
function parsecode($message)
{
global $codefromcache, $codetocache, $modSettings;
[...]
$message = preg_replace($codefromcache, $codetocache, $message);
[...]
}
[...]
-----------------------------------------------------------------------------------------------------------------------------
On voit que ces balises utilisent l'argument "style", dans lequel on peut placer une fonction url() ou expression()
permettant de faire ex�cuter n'importe quel script.
On peut injecter ce script de trois mani�re diff�rentes :
- [glow=red);background:url(javascript:[SCRIPT]);,2,300]text[/glow]
qui donnera le code html :
-----------------------------------------------------------------------------------------------
-----------------------------------------------------------------------------------------------
O� la partie ", strength=2);" n'aura aucune cons�quence sur l'�x�cution du script.
- [glow=red,2);background:url(javascript:[SCRIPT],300]text[/glow]
qui donnera le code HTML :
---------------------------------------------------------------------------------------------
---------------------------------------------------------------------------------------------
- et enfin [shadow=red);background:url(javascript:[SCRIPT]);,left]text[/shadow]
qui donnera le code HTML :
----------------------------------------------------------------------------------------------------
----------------------------------------------------------------------------------------------------
O� la partie ", direction=270);" n'aura aucune cons�quence sur l'�x�cution du script.
Le [SCRIPT] pourrait par exemple permettre de r�cup�rer, via les messages priv�s, le cookie utilisateur
avec l'�lement "document.cookie" ou encore l'ID de session de l'utilisateur avec l'�l�ment
"document.getElementsByTagName("form")[1].sc.value", qui va le r�cup�rer dans le champ d'un formulaire o� il est plac�.
L'�l�ment [1] change en fonction du nombre de balise