CVE-2019-19658

Chevereto XSS almacenado en la página de perfil - 1.0.0 - 1.1.4 Free, <= 3.13.5 Core. Un usuario normal puede ingresar HTML y script en su nombre de perfil y se ejecutará en su página de perfil.

/settings/profile

Nombre:

0;https://www.google.se" http-equiv="refresh" data="

Resultado en la página de perfil, que redirigirá a Google:

<meta name="twitter:title" content="0;https://www.google.com" http-equiv="refresh" data=" (admin)">

Un usuario registrado inyecta algún script en el campo de nombre, en este caso para redirigir al usuario a Google.

Alguien entra al perfil de /test y es redirigido.