CleverTap Web SDK версии 1.15.2 и более ранних уязвим к межсайтовому скриптингу на основе DOM (XSS) через window.postMessage в модуле Visual Builder. Проверка происхождения в src/modules/visualBuilder/pageBuilder.js (строки 56–60) использует метод include() для проверки того, что originUrl содержит «dashboard.clevertap.com», что может быть обойти злоумышленник с помощью созданного поддомена.
Показать оригинальное описание (EN)
CleverTap Web SDK version 1.15.2 and earlier is vulnerable to DOM-based Cross-Site Scripting (XSS) via window.postMessage in the Visual Builder module. The origin validation in src/modules/visualBuilder/pageBuilder.js (lines 56-60) uses the includes() method to verify the originUrl contains "dashboard.clevertap.com", which can be bypassed by an attacker using a crafted subdomain
Характеристики атаки
Последствия
Строка CVSS v3.1