sromanhu/cve-2023-43876-october-cms-reflected-xss---installationOctober CMS 3.4.16 متأثر بثغرة اختراق نصية عبر الموقع (XSS) تتيح للمهاجمين تنفيذ كود عشوائي عبر حمولة مصممة في عملية التثبيت.
الوصف: ثغرة في البرمجة النصية عبر المواقع (XSS) في تثبيت October v.3.4.16 تسمح لمهاجم محلي بتنفيذ نصوص ويب عشوائية عبر حمولة مصممة يتم حقنها في حقل dbhost.
نواقل الهجوم: ثغرة في معالجة التثبيت في حقل dbhost تسمح بحقن كود JavaScript.
أثناء عملية التثبيت، نقوم بإدخال حمولة XSS في حقل dbhost، وعند النقر على "التالي"، تظهر نافذة XSS المنبثقة.
'"><svg/onload=prompt('dbhost')>
في الصورة التالية يمكنك رؤية الكود المضمن الذي ينفذ الحمولة في عملية التثبيت.
