Tryption.ch

Pentesting & Consulting

Cross-Site-Scripting auf supercard.ch [unfixed]

Im Prämienshop auf supercard.ch befindet sich zurzeit (Stand 03.09.2019) eine XSS-Vulnerability. Da sich diese Schwachstelle jedoch nicht auf der Loginseite (siehe diesen Artikel) befindet, ist die Gefahr entsprechend geringer.

Technische Details

Bei der Sicherheitslücke handelte es sich um sogenanntes Reflected Cross-Site-Scripting (XSS). Die Lücke entsteht, da die Website den Link (inklusive aller Parameter) auf der Website ausgibt, ohne die Eingabe zu filtern oder zu encodieren. In diesem Fall wird das Suchwort im Value-Attribut des Textfeldes zurücksendet.

Es lässt sich kein <script>-Tag einschleusen, jedoch lässt sich JavaScript-Code in das Input-Feld schreiben: https://www.supercard.ch/praemienshop/search/?text=Suchen" onfocus="alert('XSS')"autofocus="

Testen lässt sich dies über folgenden Link: https://www.supercard.ch/praemienshop/search/?text=Suchen%22%20onfocus=%22alert(%27XSS%27)%22%20autofocus=%22

Auswirkung

Durch diese Lücke ist es zwar theoretisch möglich, das Benutzerkonto eines Opfers zu übernehmen, jedoch muss der Benutzer bereits angemeldet sein. Dies war bei der letzten XSS-Schwachstelle auf supercard.ch nicht nötig.

Schreiben Sie einen Kommentar

Ihre E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.