CVE-2025-9143

Três XSS em uma página? O Scada-LTS falha ao sanitizar entradas nas configurações de mailing_lists.shtm

🇺🇸 Read in English.

CVE-2025-9143

Introdução

Ao explorar a seção de mailing_lists.shtm do Scada-LTS, me deparei com algo que imediatamente levantou um alerta: três campos separados na mesma página estavam vulneráveis ​​a XSS armazenado.

Neste post, vou explicar o que encontrei no endpoint mailing_lists.shtm, como cada vetor funciona e por que esse tipo de descuido pode ter consequências graves — especialmente em softwares usados ​​para controlar sistemas industriais.

O que é a CVE-2025-9143?

CVE-2025-9143 refere-se a um conjunto de vulnerabilidades de script entre sites armazenados (XSS) no aplicativo Scada-LTS, afetando especificamente o endpoint mailing_lists.shtm.

O problema decorre de três parâmetros diferentes (nome, userList e endereço) que aceitam a entrada do usuário sem a devida sanitização. Quando qualquer um desses campos é preenchido com um payload malicioso, o código é armazenado no servidor e executado automaticamente no navegador de qualquer pessoa que acesse a página.

Detalhes Técnicos

➤ Endpoint vulnerável mailing_lists.shtm

➤ Parâmetros afetados: name, userList e address

➤ Payload utilizado

html

<img src=x onerror=alert(40)>

Proof of Concept (PoC)

Veja como reproduzir a vulnerabilidade passo a passo:

➤ Navegue até: mailing_lists.shtm

➤ Campo “Nome”: Cole o payload no segundo campo denominado “Nome”

➤ Campo “Adicionar usuário”:

• Acesse users.shtm e crie um usuário cujo nome inclua o payload

• Retorne a mailing_lists.shtm e selecione o usuário, clique em “+”

➤ Campo “Adicionar endereço”:

• Cole o mesmo payload no campo “Adicionar endereço”

• Clique em “+” para adicioná-lo

➤ Clique no ícone de disco para salvar

Todos os payloads agora estão armazenados e serão acionados no carregamento da página.

Parâmetro name	Parâmetro userList

Parâmetro address

Impacto

A vulnerabilidade de Cross Site Scripting (XSS) pode ser explorada para:

• Roubar cookies de sessão (session hijacking);
• Instalar malwares nos dispositivos das vítimas;
• Roubar credenciais salvas no navegador;
• Redirecionar usuários para sites maliciosos;
• Alterar a interface da aplicação (defacement);
• Comprometer a reputação institucional.

Fontes Oficiais

A falha foi reportada eticamente e atribuída como:

Conclusão

Mesmo um único campo de entrada sem validação adequada pode abrir caminho para ataques de alto impacto.

CVE-2025-9143 destaca a importância da sanitização de entradas em todas as etapas do desenvolvimento. Se você trabalha com aplicativos web, é importante revisar cuidadosamente todos os pontos de entrada do usuário.

Descuidos simples como esse podem facilmente passar despercebidos, mas apresentam sérios riscos.

Créditos

Descoberto com💜 por Karina Gante.

Membro Oficial do CVE-Hunters🏹