توجد ثغرة برمجة نصية عبر المواقع (XSS) مخزنة في bludit 3.13.1 عبر قسم TAGS في لوحة تسجيل الدخول. يقوم التطبيق بتخزين كود جافاسكربت الخبيث الذي يحقنه المهاجم في قاعدة البيانات وينفذه دون تحقق.

الاستغلال:

1. سجّل الدخول إلى لوحة الإدارة - http://localhost/admin
2. انتقل إلى قسم المحتوى الجديد.
3. أدخل عنوان المقالة على سبيل المثال: test
4. انقر على زر الخيارات.
5. انتقل إلى التبويب المتقدم واحقن الحمولة أدناه في قسم TAGS.

الحمولة:

6. انقر على زر الحفظ.
7. افتح المقالة (test).
8. يتم تشغيل كود الجافاسكربت الخبيث.

الأثر:

يمكن للمهاجم حقن كود جافاسكربت خبيث في قسم حقل TAGS.

التخفيف:

يوصى بتعقيم جميع حقول الإدخال في جميع أنحاء التطبيق.