CVE-2024-33299

ثغرة تخزين البرمجة النصية عبر المواقع (Stored XSS) في Microweber <= 2.0.9

الملخص:

ثغرة تخزين البرمجة النصية عبر المواقع (Stored Cross Site Scripting) في Microweber الإصدار 2.0.9 تسمح لمهاجم عن بُعد بتنفيذ كود تعسفي عبر معاملات الاسم الأول (First Name) والاسم الأخير (Last Name) في نقطة النهاية /admin/module/view?type=users

المتطلبات:

• Microweber الإصدار <= 2.0.9
• صلاحيات وصول كمسؤول (Admin)

خطوات إعادة الإنتاج:

1. قم بتسجيل الدخول إلى التطبيق بصلاحيات إدارية
2. انتقل إلى نقطة النهاية /admin/users
3. اختر أي مستخدم للتعديل (أو أنشئ مستخدمًا جديدًا ثم عدّله لاحقًا)
4. أدخل الحمولة `` في حقل "الاسم الأول" أو "الاسم الأخير" حيث يمكن لكلا الحقلين تشغيل حقن JavaScript
5. انتقل إلى نقطة النهاية /admin/module/view?type=users لتشغيل حقن JavaScript

المكونات المتأثرة:

• /admin/module/view?type=users

التأثير:

يمكن للمهاجم تنفيذ كود JavaScript في متصفح الضحية، والحصول على معلومات أو إجبار المستخدم على الوصول إلى مواقع ويب ضارة، على سبيل المثال.