sromanhu/cve-2023-44770_zenariocms--reflected-xss---organizer-aliasZenariocms 9.4.59197 ist von einer Cross-Site Scripting (XSS)-Sicherheitslücke betroffen, die es Angreifern ermöglicht, beliebigen Code über einen manipulierten Payload an den Spare-Alias vom Organizer auszuführen.
Beschreibung: Eine Cross Site Scripting-Schwachstelle in ZenarioCMS v.9.4.59197 ermöglicht es einem lokalen Angreifer, beliebigen Code über ein manipuliertes Skript im Organizer – Spare alias auszuführen.
Angriffsvektoren: Skripten einer Schwachstelle in der Bereinigung der Eingabe im Spare alias. Ermöglicht das Einschleusen von JavaScript-Code, der ausgeführt wird, wenn der Benutzer auf die Webseite zugreift.
Wenn wir uns im Panel anmelden, gehen wir zum „Organizer – Spare alias“ aus dem Organizer-Menü.
Wir klicken auf „Create a spare alias“ und fügen das folgende Payload in das Feld „Spare alias“ ein:
"' onfocus="alert(1)" autofocus="
Im folgenden Bild sehen Sie das XSS-Popup, wenn das Payload ausgeführt wird:
