CVE-2025-44108 - ثغرات البرمجة النصية عبر المواقع المخزنة (XSS) في نظام إدارة المحتوى FlatPress الإصدار 1.3.1

الوصف

توجد ثغرة برمجة نصية عبر المواقع مخزنة (XSS) في لوحة الإدارة لنظام Flatpress CMS الإصدار 1.3.1. يمكن للمهاجم الذي يتمتع بصلاحيات مسؤول حقن حمولة JavaScript ضارة في النظام، والتي يتم تخزينها بشكل دائم. عندما يزور مستخدم عادي الصفحة المخترقة (مثل منشور مدونة)، يتم تنفيذ الحمولة المُحقنة تلقائيًا في متصفح الضحية.

المنتج المتأثر

• Flatpress
• الإصدار : <=1.3.1
• المكون : تعليقات معرض الصور

⚠️ التأثير

• سرقة ملفات تعريف الارتباط للجلسة.
• هجمات التصيد
• إعادة توجيه المستخدمين إلى مواقع ضارة.

خطوات إعادة الإنتاج:

1. قم بتنزيل نظام FlatPress CMS من مصدر موثوق. (https://github.com/flatpressblog/flatpress)

2. قم بتشغيل خادم PHP محلي باستخدام الأمر: php -S 127.0.0.1:80

3. افتح الرابط التالي في متصفحك: http://127.0.0.1/admin.php?p=uploader&action=gallerycaptions

4. في منطقة الإدارة -> الرفع -> تعليقات معرض الصور، يمكنك تحرير التعليق للصور، وحقن الحمولة وحفظها، وعندما يزور أي زائر للموقع أو مسؤول منشور المدونة، سيتم تنفيذ XSS المخزنة.

1. 


2. 

منطقة الكود

مستودع Flatpress على GitHub

مرجع:

https://portswigger.net/web-security/cross-site-scripting

الإصدار المُصلح

FlatPress 1.4 "Notturno" رابط

تعيين CVE

• معرف CVE: CVE-2025-44108