CVE-2024-33299

Stored Cross Site Scripting-Schwachstelle in Microweber <= 2.0.9

Zusammenfassung :

Eine Stored Cross Site Scripting-Schwachstelle in Microweber v.2.0.9 ermöglicht es einem entfernten Angreifer, beliebigen Code über die Parameter „First Name“ und „Last Name“ im Endpunkt /admin/module/view?type=users auszuführen.

Voraussetzungen :

• Microweber Version <= 2.0.9
• Admin-Zugriff

Schritte zur Reproduktion :

1. Authentifizieren Sie die Anwendung mit administrativen Berechtigungen
2. Gehen Sie zum Endpunkt /admin/users
3. Wählen Sie einen Benutzer zum Bearbeiten aus (oder erstellen Sie einen und bearbeiten Sie ihn anschließend)
4. Fügen Sie den Payload `` entweder im Feld „First Name“ oder „Last Name“ ein, da beide Felder die JavaScript-Injektion auslösen können
5. Gehen Sie zum Endpunkt /admin/module/view?type=users, um die JavaScript-Injektion auszulösen

Betroffene Komponenten :

• /admin/module/view?type=users

Auswirkungen :