paragbagul111/cve-2024-33210Eine Cross-Site-Scripting-Schwachstelle (XSS) wurde in Flatpress 1.3 identifiziert. Diese Schwachstelle ermöglicht es einem Angreifer, bösartige Skripte in Webseiten einzuschleusen, die von anderen Benutzern angezeigt werden.
In Flatpress 1.3 wurde eine Cross-Site-Scripting-Schwachstelle (XSS) identifiziert. Diese Schwachstelle ermöglicht es einem Angreifer, bösartige Skripte in Webseiten einzuschleusen, die von anderen Benutzern angezeigt werden.
Vulnerability Type: Cross Site Scripting (XSS)
Vendor of Product:
flatpress CMS
Affected Product Code Base:
Flatpress v1.3 - wird in FlatPress Version 1.3 behoben.
Affected Component: URL
CVE-Auswirkung – Sonstiges: Ein Angreifer kann diese Schwachstelle ausnutzen, um im Kontext des Browsers eines Benutzers beliebigen Code auszuführen, was möglicherweise zu verschiedenen bösartigen Aktivitäten führt, wie dem Stehlen vertraulicher Informationen, Session-Hijacking oder der Verbreitung von Malware.
Referenz: https://medium.com/@Parag_Bagul/preventing-cross-site-scripting-xss-attacks-with-the-html-special-characters-function-in-php-1b9db17bcdb4 https://owasp.org/www-community/attacks/xss/
POC:
1.Rufen Sie die folgende URL auf: http://127.0.0.1/flatpress-1.2.1/admin.php?p=entry&entry=bmnik"onmouseover="alert(1)"style="position:absolute;width:100%;height:100%;top:0;left:0;"vqtz3&action=write
2.Ersetzen Sie "127.0.0.1" durch den Domänennamen der Zielwebsite.
3.Injizieren Sie das bösartige Skript, um die XSS-Schwachstelle auszulösen.
Video POC: https://drive.google.com/file/d/1CpVab51tsM-JXvgeSPzljhWbd91OTbxF/view
Entdecker: Parag Bagul
