sromanhu/cve-2023-43353-cmsmadesimple-stored-xss---news---extraVulnerabilidad de Cross Site Scripting en CMSmadesimple v.2.2.18 permite a un atacante local ejecutar código arbitrario mediante un script manipulado en el menú Extrain the Content - News.
Descripción: La vulnerabilidad de Cross Site Scripting en CMSmadesimple v.2.2.18 permite a un atacante local ejecutar código arbitrario mediante un script manipulado en el campo Extra del menú Content - News.
Vectores de ataque: Una vulnerabilidad en la sanitización de la entrada en el campo Extra del menú "Content - News Menu" permite inyectar código JavaScript que se ejecutará cuando el usuario acceda a la página web.
Al iniciar sesión en el panel, iremos a la sección "Content- News" del menú General.
Editamos ese menú Content - News con el payload que hemos creado y vemos que podemos inyectar código JavaScript arbitrario en el campo Extra.
'"><svg/onload=prompt('Extra')>
En la siguiente imagen se puede ver el código incrustado que ejecuta el payload en la página web principal.
