FlatPress CMS Gespeichertes XSS in v1.3.1

CVE-2025-25460
Autor: Athul S

Beschreibung

Eine gespeicherte Cross-Site Scripting (XSS) Sicherheitslücke wurde in FlatPress 1.3.1 in der "Add Entry" Funktion identifiziert. Diese Sicherheitslücke erlaubt es authentifizierten Angreifern, bösartige JavaScript-Payloads in Blogbeiträge einzuschleusen, die ausgeführt werden, wenn andere Benutzer die Beiträge anzeigen. Das Problem entsteht aufgrund unzureichender Eingabebereinigung des "TextArea"-Felds im Blogeintrags-Formular.

Angriffsvektoren

• Ein authentifizierter Angreifer kann eine bösartige JavaScript-Payload in den Blogbeitrag einfügen.
• Die Payload wird ausgeführt, wenn ein Admin oder ein anderer Benutzer den betroffenen Blogeintrag besucht.
• Dies könnte zu Session-Hijacking, Phishing oder anderen clientseitigen Angriffen führen.

Proof of Concept (PoC)

Schritte zur Reproduktion:

1. Als Admin einloggen in FlatPress v1.3.1.

2. Navigieren Sie zum Abschnitt "Add Entry".