ثغرة XSS مخزنة في FlatPress CMS الإصدار 1.3.1

CVE-2025-25460
المؤلف: Athul S

الوصف

تم اكتشاف ثغرة من نوع Cross-Site Scripting (XSS) المخزنة في FlatPress 1.3.1 داخل ميزة "إضافة مدخلة" (Add Entry). تسمح هذه الثغرة لـ المهاجمين الموثقين بحقن حمولات JavaScript ضارة في منشورات المدونة، والتي يتم تنفيذها عند مشاهدة المستخدمين الآخرين للمنشورات. تنشأ المشكلة بسبب عدم تنقية الإدخالات بشكل صحيح لحقل "TextArea" في نموذج تقديم مدخلة المدونة.

نواقل الهجوم

• يمكن لـ مهاجم موثق حقن حمولة JavaScript ضارة في مدخلة منشور المدونة.
• يتم تنفيذ الحمولة عندما يزور مسؤول أو مستخدم آخر المدخلة المتأثرة.
• قد يؤدي ذلك إلى اختطاف الجلسات، أو هجمات التصيد، أو هجمات أخرى من جانب العميل.

إثبات المفهوم (PoC)

خطوات إعادة الإنتاج:

1. تسجيل الدخول كمسؤول في FlatPress الإصدار 1.3.1.

2. انتقل إلى قسم "إضافة مدخلة" (Add Entry).

3. أدخل حمولة XSS التالية في منطقة النص:

   root@kitploit:~