sromanhu/cve-2023-43343-quick-cms-stored-xss---pages-filesQuick CMS 6.7 se ve afectado por una vulnerabilidad de Cross-Site Scripting (XSS) que permite a los atacantes ejecutar código arbitrario mediante un payload manipulado en el campo Files - Description en el menú Pages.
Descripción: Múltiples vulnerabilidades de Cross-Site Scripting (XSS) en Quick CMS v6.7 permiten a un atacante local ejecutar código arbitrario mediante un script manipulado para la la Descripción de Archivos en el menú de Páginas.
Vectores de ataque: Scripting Una vulnerabilidad en la sanitización de la entrada en la Descripción del menú "Pages- Files Menu" permite inyectar código JavaScript que se ejecutará cuando el usuario acceda a la página web.
Al iniciar sesión en el panel, iremos a la sección "Pages - Files ." del menú General.
Editamos esa configuración de Descripción y vemos que podemos inyectar código JavaScript arbitrario en el campo de Descripción.
'"><svg/onload=alert('Description')>
En la siguiente imagen se puede ver el código incrustado que ejecuta el payload en la página web principal.
