CVE-2025-29602 - Gespeicherte Cross-Site-Scripting (XSS)-Sicherheitslücke in FlatPress CMS 1.3.1

Beschreibung

Eine gespeicherte Cross-Site-Scripting (XSS)-Sicherheitslücke existiert im Administrationsbereich von Flatpress CMS 1.3.1. Ein Angreifer mit Admin-Rechten kann eine bösartige JavaScript-Nutzlast in das System einspielen, die dann dauerhaft gespeichert wird.

Wenn ein normaler Benutzer die kompromittierte Seite (z. B. einen Blogbeitrag) besucht, wird die eingespielte Nutlast automatisch im Browser des Opfers ausgeführt.

Betroffenes Produkt

• Flatpress
• Version : 1.3.1
• Komponente : Kategorie bearbeiten

⚠️ Auswirkungen

• Sitzungscookies stehlen.
• Phishing-Angriffe
• Remote-Code-Ausführung (via JavaScript)
• Benutzer auf bösartige Websites umleiten.

POC

 :9

Code-Bereich

Flatpress github

Behobene Version

FlatPress 1.4 „Notturno“ link

CVE-Zuweisung

• CVE-ID: CVE-2025-29602