Contao: Cross-site scripting en el comments-bundle

Un visitante no autenticado en el front end puede publicar un comentario que contenga una inyección XSS (Cross-Site Scripting). La víctima es cualquier usuario del back end que abra el módulo de comentarios, y la moderación asegura la exposición en lugar de prevenirla. No se envía ninguna cabecera Content-Security-Policy en el back end de Contao, por lo que no hay nada que mitigue el manejador en línea.

Impacto

Cualquier persona en Internet puede inyectar código que se ejecuta en el origen del back end de Contao bajo la sesión de cualquier usuario que abra el módulo de comentarios, sin requerir clics ni pasar el cursor. A partir de ahí, la carga útil actúa en nombre de ese usuario a través del back end: leyendo cualquier módulo al que tenga acceso, creando un nuevo administrador o editando una plantilla, lo que en Contao es una vía documentada desde el acceso de escritura en el back end hacia la ejecución de código. La moderación no ayuda y, de hecho, garantiza la exposición, ya que los comentarios no publicados se siguen insertando y un moderador debe abrir la lista para gestionarlos.