CVE-2018-11564
Cross-Site Scripting (XSS) persistente en YOOtheme Pagekit en versiones 1.0.13 y anteriores permite que un usuario suba código malicioso mediante la...
- Publicado
- 1 jun 2018
- Actualizado
- 5 ago 2024
- Asignación de CNA
- mitre
- Evidencia observada
- 5 jun 2018
CVSS primario
nvd · CVSS 3.0
CVSS:3.0/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:NBajo · próximos 30 días
- Percentil
- 90,1 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Cross-Site Scripting (XSS) persistente en YOOtheme Pagekit en versiones 1.0.13 y anteriores permite que un usuario suba código malicioso mediante la funcionalidad de subida de imágenes. Un usuario con privilegios elevados podría subir una foto al sistema en formato SVG. Este archivo se subirá al sistema y no se filtrará o reducirá. El usuario puede crear un enlace en el sitio web que señale a "/storage/poc.svg" que señale a http://localhost/pagekit/storage/poc.svg. Cuando un usuario entra a hacer clic en dicho enlace, desencadenará un ataque de Cross-Site Scripting (XSS).
Fuentes
2- CVE-2018-11564Exploit
herramienta de explotación de CVE-2018-11564
DEEPIN2 · php · 5 jun 2018
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.