CVE-2025-44108 - Gespeicherte Cross-Site-Scripting(XSS)-Sicherheitslücken im FlatPress CMS 1.3.1

Beschreibung

Eine gespeicherte Cross-Site-Scripting (XSS)-Sicherheitslücke besteht im Verwaltungsbereich von Flatpress CMS 1.3.1. Ein Angreifer mit Administratorrechten kann eine bösartige JavaScript-Nutzlast in das System einschleusen, die dann dauerhaft gespeichert wird.

Wenn ein regulärer Benutzer die kompromittierte Seite (z. B. einen Blogbeitrag) besucht, wird die eingeschleuste Nutlast automatisch im Browser des Opfers ausgeführt.

Betroffenes Produkt

Flatpress
Version : <=1.3.1
Komponente : Galerie-Beschriftungen

⚠️ Auswirkungen

Sitzungscookies stehlen.
Phishing-Angriffe
Benutzer auf bösartige Websites umleiten.

Schritte zur Reproduktion:

1.Laden Sie das FlatPress CMS von einer vertrauenswürdigen Quelle herunter. (https://github.com/flatpressblog/flatpress)

2.Starten Sie einen lokalen PHP-Server mit dem Befehl: php -S 127.0.0.1:80

3.Öffnen Sie die folgende URL in Ihrem Browser: http://127.0.0.1/admin.php?p=uploader&action=gallerycaptions

4.Im Administrationsbereich -> uploader->Galerie-Beschriftungen, in diesem Bereich können Sie die Beschriftung für die Bilder bearbeiten, die Nutlast einfügen und speichern. Sobald ein Seitenbesucher oder Administrator den Blogbeitrag aufruft, wird das gespeicherte XSS ausgeführt.

Imge