В статье на Hack The Box разбирается уязвимость типа XSLT-инъекция в машине под названием Conversor. Этот редкий класс уязвимостей позволяет злоумышленнику манипулировать обработкой XML-данных на сервере.

Эксплуатация уязвимости основана на внедрении вредоносных XSLT-преобразований в входные данные. Через эти манипуляции атакующий может получить возможность читать произвольные файлы в системе.

Далее в материале показан пошаговый процесс эксплуатации, от обнаружения уязвимости до получения доступа к файлам. Автор демонстрирует, как с помощью специально сформированных запросов можно обойти ограничения.

В результате успешной атаки злоумышленник может достичь полной компрометации целевого сервера. Подобные уязвимости подчеркивают важность валидации и санитизации всех входных данных, особенно в XML-процессорах.

Разбор служит наглядным учебным пособием для специалистов по безопасности, изучающих неочевидные векторы атак.