CVE-2019-17625漏洞复现

CVE-2019-17625漏洞复现

漏洞详情

Rambox 0.6.9中存储了XSS，可能导致代码执行。添加/编辑服务时，XSS位于名称字段中。发生此问题是由于在处理和存储名称字段时不正确的清理。这允许用户为Node.js和Electron制作有效负载，例如在IMG元素的onerror属性内的OS命令执行程序。

环境搭建

下载一个Rambox 0.6.9版本。

Rambox 0.6.9 (32-bit) Download

下载完成后解压。打开rambox

点击添加一个服务

在名字的地方输入payload：

<img src="x" οnerrοr="alert('Eku was here');" />

保存后成功弹窗，说明payload被执行。