PostHog anketlerindeki XSS açığı hesapların ele geçirilmesine yol açtı
Öne çıkanlar
- Açık, oturum açmış kullanıcıların bağlantıyı açmasıyla tam yetkili API anahtarı üretilmesine izin verdi.
- Zafiyet içeren kod değişikliği CodeQL, Semgrep ve Wiz güvenlik denetimlerinden uyarı almadan geçti.
- PostHog, 2 Eylül tarihinde yayımladığı yamayla anket içeriğini ana oturumdan yalıtarak açığı kapattı.
Güvenlik girişimi Strix, açık kaynaklı analitik platformu PostHog üzerinde oturum açmış kullanıcıların hesaplarını tamamen ele geçirmeye imkan tanıyan kritik bir güvenlik açığı tespit etti. Şirketin yapay zeka tabanlı güvenlik ajanları tarafından bulunan açık, saldırganların resmi PostHog alan adı üzerinde zararlı JavaScript kodu barındıran anket bağlantıları oluşturmasına izin verdi. Kurbanın bu bağlantıyı tarayıcısında açması, saldırganın kurban adına tam yetkili bir kişisel API anahtarı üretmesi için yeterli oldu.
İncelemeler, sorunun 10 Ağustos tarihinde posthog-js kütüphanesine eklenen giriş ekranı özelliğinden kaynaklandığını gösterdi. Arka uç sistemi eski anket alanlarını temizlerken, yeni eklenen açıklama alanını denetimden geçirmedi. Bu zararlı veri istemci tarafında doğrudan dangerouslySetInnerHTML ile işlendi ve anketler ana uygulama ile aynı kök alan adında barındırıldığı için oturum çerezlerine erişim sağladı. İlgili kod değişikliğinin CodeQL, Semgrep ve Wiz gibi çok sayıda otomatik güvenlik taramasından başarıyla geçtiği kaydedildi.
PostHog ekibi bildirimin ardından 2 Eylül tarihinde yayımladığı güncellemeyle giriş alanlarını temizledi ve barındırılan anketleri korumalı alan içine alarak ana uygulamadan yalıttı. Şirket tarafından yapılan denetimlerde, açığın Strix ekibinin gerçekleştirdiği testler dışında kötüye kullanılmadığı belirlendi. Kendi sunucularında PostHog çalıştıran kullanıcılara sunucu tarafı yamalarını vakit kaybetmeden uygulama çağrısı yapıldı.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.