CVE-2022-36433

Cross-site Scripting (XSS) en la funcionalidad de creación de publicaciones de blog en Amasty Blog Pro para Magento 2

Descripción

La funcionalidad de creación de publicaciones de blog en el plugin Amasty Blog Pro 2.10.3 para Magento 2 permite la inyección de código JavaScript en los campos short_content y full_content, lo que lleva a ataques XSS contra usuarios del panel de administración a través de posts/preview o posts/save.

Endpoints vulnerables que son los puntos de inyección para los parámetros mencionados anteriormente:

• POST /admin/amasty_blog/posts/preview/key/{some_key}/?isAjax=true
• POST /admin/amasty_blog/posts/save/key/{some_key}/back/edit

Versiones afectadas

< 2.10.5

Aviso

Actualice Amasty Blog Pro para Magento 2 a la versión 2.10.5 o superior.

Referencias

• https://amasty.com/blog-pro-for-magento-2.html