CVE-2021-20717-EC-CUBE-XSS

NVD-Beschreibung

Die Cross-Site-Scripting-Schwachstelle in EC-CUBE 4.0.0 bis 4.0.5 erlaubt es einem entfernten Angreifer, ein speziell gestaltetes Skript in das spezifische Eingabefeld der mit EC-CUBE erstellten EC-Website einzuschleusen. Dies kann zur Ausführung beliebiger Skripte im Webbrowser des Administrators führen.

Einrichtung

1. EC Cube klonen

git clone https://github.com/EC-CUBE/ec-cube.git -b 4.0.5

2. Docker-Build

docker build -t eccube4-php-apache .

3. Docker-Container ausführen

docker run --name ec-cube -p "8080:80" -p "4430:443" eccube4-php-apache

Reproduktion

Benutzer

http://localhost:8080

1. In den Warenkorb legen und zur Kasse gehen

2. Skript in das Anfrageformular injizieren