Subrion CMS 4.2.1 – Reflektierte XSS-Sicherheitslücke im Kickstart-Template

Beschreibung

Subrion CMS ist einfach zu installieren und einfach zu verwalten. Verwenden Sie es als eigenständige Anwendung oder in Verbindung mit anderen Anwendungen, um Einstiegsseiten, mittelgroße oder große Websites zu erstellen.

Die Reflected Cross-Site-Scripting-Schwachstelle wurde im Webanwendungs-Template „Kickstart“ von Subrion CMS v.4.2.1 über die Komponente „search“ entdeckt, die es einem entfernten Angreifer ermöglicht, beliebiges JavaScript zu injizieren.

Datum: 22-02-2022
Software-Link: https://subrion.org
Exploit-Autor: HaMM0nz
CVE: CVE-2020-18324
Kategorie: Webanwendung

Proof of Concept

1. Navigieren Sie zum Kickstart-Template von Subrion
2. Injizieren Sie in den Parameter „q“. Im PoC-Exploit wird dies https://localhost/search/?q= sein

Zeitplan

Entdeckung und Meldung : 24 June 2019
CVE-ID wurde vergeben : 11 Aug 2021
Öffentlich : 22 February 2022

Lösung

Ziehen Sie in Betracht, die XSS-Präventionsrichtlinien von OWASP zu befolgen. (https://cheatsheetseries.owasp.org/cheatsheets/Cross_Site_Scripting_Prevention_Cheat_Sheet.html)