sromanhu/cve-2023-43345-quick-cms-stored-xss---pages-contentQuick CMS 6.7 se ve afectado por una vulnerabilidad de Cross-Site Scripting (XSS) que permite a los atacantes ejecutar código arbitrario mediante un payload manipulado en el campo Content- Name del menú Pages Menu.
Descripción: Una vulnerabilidad de Cross-Site Scripting (XSS) en Quick CMS v6.7 permite a un atacante local ejecutar código arbitrario mediante un script manipulado en el campo Content - Name del menú Pages.
Vectores de ataque: Scripting: una vulnerabilidad en la sanitización de la entrada en el campo Name del contenido del menú Pages permite inyectar código JavaScript que se ejecutará cuando el usuario acceda a la página web.
Al iniciar sesión en el panel, iremos a la sección "Content - Name" de Pages.
Editamos esa configuración de contenido y vemos que podemos inyectar código JavaScript arbitrario en el campo Name.
<svg/onload=alert(document.domain)>
En la siguiente imagen se puede ver el código incrustado que ejecuta el payload en la web principal.
