CVE-2024-33297

ثغرة تخزين البرمجة النصية عبر المواقع (Stored XSS) في Microweber <= 2.0.9

الملخص:

ثغرة تخزين البرمجة النصية عبر المواقع (Stored Cross Site Scripting) في Microweber الإصدار 2.0.9 تسمح لمهاجم عن بُعد بتنفيذ كود تعسفي عبر حقل "اسم الحملة (الاسم الداخلي)" في وظيفة "إضافة حملة جديدة".

المتطلبات:

• Microweber الإصدار <= 2.0.9
• صلاحيات المسؤول

خطوات إعادة الإنتاج:

1. قم بتسجيل الدخول إلى التطبيق بصلاحيات إدارية
2. انتقل إلى نقطة النهاية /admin/modules/newsletter/lists وانقر على "+ إضافة قائمة جديدة"
3. أدخل الحمولة `` في حقل "اسم القائمة"
4. انقر على "حفظ" لتفعيل حقن JavaScript. سيتم تفعيل الحقن عند عرض الحملات الحالية وأيضًا في تبويب إنشاء مشترك جديد.

المكونات المتأثرة:

• /admin/modules/newsletter

التأثير:

يمكن للمهاجم تنفيذ كود JavaScript في متصفح الضحية، والحصول على معلومات أو إجبار المستخدم على الوصول إلى مواقع ويب ضارة، على سبيل المثال.

المراجع ذات الصلة