search

mikopbx / Core

Main repository! MikoPBX - is free, easy to setup PBX for small business based on Asterisk 16 core
https://www.mikopbx.com
GNU General Public License v3.0
377 stars 62 forks source link

Filter the input fields to avoid XSS attacks #683

Open jorikfon opened 7 months ago

jorikfon commented 7 months ago

После авторизации, отсутствует какая либо фильтрация ввода от пользователя, поэтому неоднократно можно воспроизвести там хранимый JavaScript код (XSS), который будет выполняться при каждом обращении пользователей к этой странице Пример воспроизведения уязвимости: Добавляем пользователя, ставим ему имя как После сохранения всплывает окно оповещения. Угроза в том, что подобным способом имеется возможность выкрасть cookie сессию администратора или изменять фронт енд элементы на самом сайте.

jorikfon commented 1 month ago

Добавил в Extensions REST API, если проблем не будет можно будет во все добавить.

jorikfon commented 1 month ago

В Сотрудниках были проблемы с полем для ручной кастомизации, там нужны теги, убрал его из фильтрации.