Podatności x-ui

W x-ui 0.3.2 istnieje odbita podatność cross-site scripting (XSS). Interfejs zarządzania odzwierciedla surowy URI żądania w wyrażeniu wiązania szablonu po stronie klienta używanym do podświetlania pozycji menu bocznego. Escaping encji HTML po stronie serwera jest nieskuteczny w tym kontekście: przeglądarka dekoduje encje przed oceną treści przez framework po stronie klienta jako wyrażenie JavaScript. Zalogowany użytkownik panelu, który odwiedzi spreparowany URL, umożliwia wykonanie dowolnego skryptu w kontekście tej samej strony zarządzania, co umożliwia kradzież danych i nieautoryzowane działania w sesji ofiary.

Podatność na poziomą eskalację uprawnień w x-ui 0.3.2. Uwierzytelniony użytkownik może modyfikować konfiguracje przychodzących proxy innych użytkowników, w tym remark, port, protokół, ustawienia, stan włączenia, czas wygaśnięcia i limit ruchu, wysyłając żądanie odwołujące się do identyfikatora zasobu docelowego. Ścieżka aktualizacji nie weryfikuje, czy zasób docelowy należy do użytkownika sesji, co pozwala na nieautoryzowaną modyfikację danych między użytkownikami.

Wada unieważniania sesji w x-ui 0.3.2. Pełny obiekt użytkownika jest przechowywany w podpisanym cookie po stronie klienta, a uwierzytelnianie nie weryfikuje ponownie sesji w bazie danych. Zmiana nazwy użytkownika lub hasła nie unieważnia wcześniej wydanych cookie, więc atakujący z ważnym cookie może nadal korzystać z panelu administracyjnego.

Podatność nieprawidłowej kontroli dostępu w x-ui 0.3.2. Każdy uwierzytelniony użytkownik panelu może zmodyfikować szablon konfiguracji xray i wywołać restart panelu, co powoduje, że usługa gRPC zarządzania xray, domyślnie związana z loopbackiem, zostaje wygenerowana i związana z adresami nie-loopbackowymi. Rozszerza to zasięg interfejsu zarządzania poza zamierzone granice lokalne.