CVE-2019-19658

Chevereto gespeichertes XSS in der Profilseite – 1.0.0 – 1.1.4 Free, <= 3.13.5 Core. Ein normaler Benutzer kann HTML und Skript in seinen Profilnamen eingeben, und es wird auf seiner Profilseite ausgeführt.

/settings/profile

Name:

0;https://www.google.se" http-equiv="refresh" data="

Ergebnis auf der Profilseite, die zu Google weiterleitet:

<meta name="twitter:title" content="0;https://www.google.com" http-equiv="refresh" data=" (admin)">

Ein registrierter Benutzer injiziert ein Skript in das Namensfeld, um den Benutzer in diesem Fall zu Google weiterzuleiten

Jemand ruft das Profil von /test auf und wird dann weitergeleitet