sromanhu/cve-2023-43344-quick-cms-stored-xss---seo-meta-descriptionQuick CMS 6.7 está afectado por una vulnerabilidad de Cross-Site Scripting (XSS) que permite a los atacantes ejecutar código arbitrario mediante un payload manipulado en la descripción SEO-Meta del Menú de Páginas.
Descripción: Una vulnerabilidad de Cross-Site Scripting (XSS) en Quick CMS v6.7 permite a un atacante local ejecutar código arbitrario mediante un script manipulado en la descripción Meta de SEO en el Menú de Páginas.
Vectores de ataque: Scripting: una vulnerabilidad en la sanitización de la entrada en la descripción Meta de "Pages- SEO" permite inyectar código JavaScript que se ejecutará cuando el usuario acceda a la página web.
Al iniciar sesión en el panel, iremos a la sección "Pages - SEO ." del Menú General.
Editamos esa configuración de SEO y vemos que podemos inyectar código JavaScript arbitrario en el campo Descripción Meta.
'"><svg/onload=alert('XSS')>
En la siguiente imagen se puede ver el código incrustado que ejecuta el payload en la página web principal.
