paragbagul111/cve-2024-48652ثغرة البرمجة النصية عبر المواقع (Cross Site Scripting) في camaleon-cms v.2.7.5 تسمح لمهاجم عن بُعد بتنفيذ كود عشوائي عبر حقل اسم مجموعة المحتوى.
ثغرة برمجة نصية عبر المواقع (XSS) في camaleon-cms الإصدار 2.7.5 تسمح لمهاجم عن بُعد بتنفيذ كود عشوائي عبر حقل اسم مجموعة المحتوى
خطوات إعادة الإنتاج:
1.افتح الرابط: http://127.0.0.1/admin/dashboard
2.سجّل الدخول باستخدام بيانات اعتماد المدير.
3.انتقل إلى قسم "الإعدادات".
4.انقر على "مجموعات المحتوى."
5.اختر خيار "تحرير" لمجموعة محتوى.
6.في حقل "الاسم"، أدخل حمولة XSS التالية:
">
7.احفظ التغييرات. 8.حدّث الصفحة أو انتقل إلى قسم آخر. 9.سيتم تنفيذ حمولة XSS، وستظهر نافذة تنبيه تحتوي على "1".
نوع الثغرة :Cross Site Scripting (XSS)
بائع المنتج:Camaleon-Cms
قاعدة كود المنتج المتأثر : camaleon-cms - 2.7.5
المكوّن المتأثر :إعدادات Camaleon CMS - حقل اسم مجموعة المحتوى
نوع الهجوم:عن بُعد
متجهات الهجوم: ينطوي متجه الهجوم على قيام مستخدم إداري مسجّل الدخول بتعديل حقل اسم "مجموعة المحتوى" ليتضمن برنامجًا نصيًا خبيثًا. يتم تنفيذ هذا البرنامج النصي في سياق المستخدمين الآخرين الذين يشاهدون المحتوى المتأثر، مما قد يؤدي إلى سرقة البيانات أو اختطاف الجلسة.
المرجع:
https://github.com/owen2345/camaleon-cms/blob/master/CHANGELOG.md
https://owasp.org/www-community/attacks/xss/
https://drive.google.com/drive/folders/1MdN4Nv0WKvD3oFANVsmBvWJtZslbYPAN?usp=sharing