CVE-2024-41312.

InstantCMS - تخزين البرمجة النصية عبر المواقع (XSS) الإصدار المتأثر: InstantCMS 2.16.3

خطوات إعادة الإنتاج:

1. سجل الدخول إلى https://demo.instantcms.io كمستخدم تجريبي.
2. قم بزيارة https://demo.instantcms.io/photos/upload.
3. قم برفع الصورة المحتوية على الحمولة الاختبارية <img src="https://raw.githubusercontent.com/amal264882/cve-2024-41312./HEAD/asd" onerror="alert(1)"> المضمنة في حقل بيانات تعريف اسم طراز الكاميرا.
4. قم بزيارة https://demo.instantcms.io/photos/camera-{payload}
5. مثال: https://demo.instantcms.io/photos/camera-Amal_Test%3Cimg+src=%22asd%22+onerror=%22alert(1)%22%3E
6. ستلاحظ التنفيذ الفوري لحمولة XSS.

POC:

<a href=https://d.pr/v/DT8Gve> فيديو إثبات المفهوم