Vulnerabilidad de Cross Site Scripting en pages_transfer_money.php del sistema de Banca en Línea CodeAstro

Un atacante puede explotar esta vulnerabilidad inyectando código JavaScript malicioso a través del parámetro accountnumber en el archivo pagestransfer_money.php. Este código puede ser ejecutado en el navegador de cualquier usuario que visite la página vulnerable, permitiendo al atacante robar cookies de sesión, redirigir a los usuarios a sitios web maliciosos o realizar acciones en nombre del usuario autenticado. El impacto potencial incluye el robo de credenciales bancarias, la manipulación de transacciones financieras y el daño a la reputación de la institución financiera. La naturaleza remota de la explotación y la disponibilidad pública de la vulnerabilidad aumentan significativamente el riesgo.

Organizations and individuals using CodeAstro Internet Banking System version 1.0 are at risk. This includes financial institutions, online banking customers, and anyone who relies on this system for financial transactions. Shared hosting environments using this system are particularly vulnerable due to the potential for cross-tenant exploitation.

• php: Examine pagestransfermoney.php for inadequate input sanitization of the account_number parameter. Search for instances of echo or print statements directly outputting user-supplied data without proper encoding.

// Example of vulnerable code
echo $_GET['account_number'];

• generic web: Monitor access logs for requests to pagestransfermoney.php containing suspicious characters or patterns in the account_number parameter, such as <script> or alert().

grep 'account_number=[^a-zA-Z0-9]' access.log

1. 2023-10-22Disclosure

   disclosure

2. 2023-10-22PoC

   poc

1. Reservado2023-10-22
2. Publicada2023-10-22
3. Modificada2024-08-02
4. EPSS actualizado2026-04-02

La mitigación principal para esta vulnerabilidad es actualizar a la versión 1.0.1 de Internet Banking System, que incluye la corrección para la vulnerabilidad XSS. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento rigurosos de todas las entradas de usuario en el archivo pagestransfermoney.php. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan patrones sospechosos en el parámetro account_number. Monitorear los logs de la aplicación en busca de intentos de inyección de código también puede ayudar a detectar y responder a ataques.