Anchor CMS v0.12.7 - ثغرة XSS مخزنة (CVE-2025-46041)

Anchor CMS الإصدار 0.12.7 معرض لثغرة XSS مخزنة (Cross-Site Scripting) في حقل description بواجهة /admin/pages/add.

معرف CVE

CVE-2025-46041

ملخص

• النوع: XSS مخزنة
• الموقع: واجهة إنشاء الصفحة (/admin/pages/add)
• التأثير: تنفيذ جافاسكريبت عشوائي
• يتطلب مصادقة: نعم (مستخدم مسؤول أو محرر)
• الإصدار المتأثر: Anchor CMS v0.12.7 (أحدث إصدار مستقر وقت الاكتشاف)

إثبات المفهوم

1. سجّل الدخول إلى /admin

2. اذهب إلى الصفحات > إضافة صفحة

3. في حقل الوصف، أدخل:

   root@kitploit:~

   <script>alert(document.domain)</script>
   

4. احفظ الصفحة.

5. عُد إلى عرض الصفحة — يتم تنفيذ الحمولة.

المكون المتأثر

• الملف: anchor/routes/pages.php
• الحقل: description

تم الاختبار على

• Ubuntu 22.04
• Apache2 + PHP 8.1
• Anchor CMS v0.12.7 (تثبيت نظيف)

المكتشف

@binneko

المراجع

• Anchor CMS GitHub
• سجل CVE - CVE-2025-46041

إخلاء مسؤولية

لأغراض تعليمية ودفاعية فقط.