paragbagul111/cve-2024-33210Se ha identificado una vulnerabilidad de cross-site scripting (XSS) en Flatpress 1.3. Esta vulnerabilidad permite a un atacante inyectar scripts maliciosos en páginas web vistas por otros usuarios.
Se ha identificado una vulnerabilidad de secuencia de comandos entre sitios (XSS) en Flatpress 1.3. Esta vulnerabilidad permite a un atacante inyectar scripts maliciosos en páginas web vistas por otros usuarios.
Tipo de Vulnerabilidad: Secuencia de Comandos entre Sitios (XSS)
Vendor del Producto:
flatpress CMS
Código Base del Producto Afectado:
Flatpress v1.3 - será corregido en la versión FlatPress 1.3.
Componente Afectado: URL
Impacto de CVE Otros: Un atacante puede explotar esta vulnerabilidad para ejecutar código arbitrario en el contexto del navegador de un usuario, pudiendo dar lugar a diversas actividades maliciosas como el robo de información sensible, el secuestro de sesiones o la propagación de malware.
Referencia: https://medium.com/@Parag_Bagul/preventing-cross-site-scripting-xss-attacks-with-the-html-special-characters-function-in-php-1b9db17bcdb4 https://owasp.org/www-community/attacks/xss/
POC:
1.Acceda a la siguiente URL: http://127.0.0.1/flatpress-1.2.1/admin.php?p=entry&entry=bmnik"onmouseover="alert(1)"style="position:absolute;width:100%;height:100%;top:0;left:0;"vqtz3&action=write
2.Reemplace "127.0.0.1" con el nombre de dominio del sitio web objetivo.
3.Inyecte el script malicioso para activar la vulnerabilidad XSS.
Video POC: https://drive.google.com/file/d/1CpVab51tsM-JXvgeSPzljhWbd91OTbxF/view
Descubridor: Parag Bagul
