sromanhu/cve-2023-43357-cmsmadesimple-stored-xss---shortcutثغرة Cross Site Scripting في CMSmadesimple الإصدار v.2.2.18 تتيح لمهاجم محلي تنفيذ كود عشوائي عبر سكربت مخصص في حقل Title ضمن My Preferences - Manage Shortcuts
الوصف: ثغرة برمجة نصية عبر المواقع (Cross Site Scripting) في CMSmadesimple v.2.2.18 تسمح لمهاجم محلي بتنفيذ تعليمات برمجية عشوائية عبر سكربت مخصص في حقل Title في My Preferences - Manage Shortcuts
نواقل الهجوم: البرمجة النصية: ثغرة في تعقيم الإدخال في حقل Title في "My Preferences - Manage Shortcuts" تسمح بحقن كود JavaScript سيتم تنفيذه عندما يصل المستخدم إلى صفحة الويب.
عند تسجيل الدخول إلى اللوحة، سننتقل إلى قسم "My Preferences - Manage Shortcuts" من القائمة العامة.
نقوم بتعديل قائمة "Content - News Menu" باستخدام الحمولة التي أنشأناها ونلاحظ أنه يمكننا حقن كود JavaScript عشوائي في حقل Title.
'"><svg/onload=alert('Title')>
في الصورة التالية يمكنك رؤية الكود المدمج الذي ينفّذ الحمولة في صفحة الويب الرئيسية.
