Insightly邮件通知存储型XSS漏洞报告

漏洞概述

在Insightly CRM平台的邮件通知功能中存在存储型跨站脚本（XSS）漏洞。攻击者可以通过恶意构造的邮件主题在用户查看通知时执行任意JavaScript代码。

漏洞详情

用户输入未经过正确解码，导致XSS攻击载荷在以下场景中被触发：

• 当用户访问 https://crm.na1.insightly.com/list/Email/ 查看通知时
• 当用户刷新邮件服务时
• 邮件主题名称中的代码被直接执行

复现步骤

1. 创建两个账户并邀请用户加入群组
2. 添加邮件服务以启用平台内邮件发送功能
3. 在群组内任意用户可见的发送消息中，创建邮件并使用以下载荷作为主题名称：

   1	<img src="X" onerror=top[8680439..toString(30)](1337+document.cookie)>

4. 当用户登录并尝试查看未读通知时，XSS攻击将被触发

影响范围

群组内任何能够查看通知的用户都可能受到影响，攻击者可以窃取用户Cookie信息。

时间线

• 2022年6月10日：漏洞报告提交
• 2022年6月23日：请求提供视频PoC验证
• 2022年6月28日：漏洞评级为中危（5.7分）
• 2023年3月14日：漏洞奖励发放
• 2025年1月15日：漏洞修复完成

技术说明

该漏洞属于存储型XSS，攻击载荷持久存储在服务器端，每次用户访问受影响页面时都会触发执行。