CVE-2021-20717-EC-CUBE-XSS

وصف NVD

تسمح ثغرة البرمجة النصية عبر المواقع في EC-CUBE من الإصدار 4.0.0 إلى 4.0.5 لمهاجم عن بُعد بحقن سكربت مُصمم خصيصًا في حقل إدخال محدد بموقع EC الإلكتروني الذي تم إنشاؤه باستخدام EC-CUBE. ونتيجةً لذلك، قد تؤدي إلى تنفيذ سكربت عشوائي على متصفح الويب الخاص بالمسؤول.

الإعداد

1. استنساخ EC Cube

git clone https://github.com/EC-CUBE/ec-cube.git -b 4.0.5

2. بناء Docker

docker build -t eccube4-php-apache .

3. تشغيل Docker

docker run --name ec-cube -p "8080:80" -p "4430:443" eccube4-php-apache

إعادة الإنتاج

المستخدم

http://localhost:8080

1. أضف إلى السلة وتابع إلى إتمام الشراء

2. احقن السكربت في نموذج الاستفسار

3. أكمل عملية الشراء