CVE-2023-30856

eDEX-UI cross-site websocket hijacking vulnerability enables remote command execution

CVSS 3.1Medium

8.3/ 10.0

Опубликовано

28 апреля 2023 г.

Обновлено

30 января 2025 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Проект архивирован, выпуск исправлений не планируется. В качестве обхода закрывайте eDEX-UI при работе в браузере и запускайте терминал с минимальными правами.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Уязвимость Cross-Site WebSocket Hijacking в эмуляторе терминала eDEX-UI позволяет удалённо выполнять команды в командной оболочке.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

При веб-серфинге вредоносный сайт может подключиться к локальному WebSocket терминального управления eDEX-UI. Через установленное соединение злоумышленник передаёт произвольные команды в shell.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Удалённое выполнение команд в командной оболочке пользователя.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

github.comhttps://github.com/GitSquared/edex-ui/security/advisories/GHSA-q8xc-f2wf-ffh9
christian-schneider.nethttps://christian-schneider.net/CrossSiteWebSocketHijacking.html
github.comhttps://github.com/GitSquared/edex-ui/blob/04a00c4079908788b371c6ecdefff96d0d9950f8/src/classes/terminal.class.js#L458
github.comhttps://github.com/zpf2234/edex-afterlife

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2023-30856: eDEX-UI cross-site websocket hijacking vulnerability enables remote command execution. URL: https://cve.futuretools.ru/cve/CVE-2023-30856

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2023_30856,
  title = {{CVE-2023-30856: eDEX-UI cross-site websocket hijacking vulnerability enables remote command execution}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2023-30856}},
  note = {Оперативный инженерный анализ киберугроз}
}