FlatPress CMS XSS Almacenado en v1.3.1

Ejecución de Código: ✅ (Ejecución de JavaScript en el navegador de la víctima)
Exploits Potenciales: Secuestro de Sesión (robo de cookies de admin). Ataques de Phishing (redirigir usuarios a sitios maliciosos). Defacement (inyectar contenido no deseado en la página).

CVE-2025-25460 Autor: Athul S

Descripción

Se identificó una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en FlatPress 1.3.1 dentro de la función "Añadir entrada". Esta vulnerabilidad permite a atacantes autenticados inyectar cargas útiles maliciosas de JavaScript en las entradas del blog, que se ejecutan cuando otros usuarios ven las entradas. El problema surge debido a una desinfección incorrecta de la entrada del campo "TextArea" en el formulario de envío de la entrada del blog.

Vectores de Ataque

Un atacante autenticado puede inyectar una carga útil de JavaScript maliciosa en la entrada del blog.
La carga útil se ejecuta cuando un admin u otro usuario visita la entrada de blog afectada.
Esto podría llevar a secuestro de sesión, phishing u otros ataques del lado del cliente.