sromanhu/cve-2023-43357-cmsmadesimple-stored-xss---shortcutVulnerabilidad de Cross Site Scripting en CMSmadesimple v.2.2.18 permite a un atacante local ejecutar código arbitrario a través de un script manipulado en el campo Título en la sección My Preferences - Manage Shortcuts.
Descripción: Vulnerabilidad de Cross Site Scripting en CMSmadesimple v.2.2.18 que permite a un atacante local ejecutar código arbitrario mediante un script manipulado en el campo Title en My Preferences - Manage Shortcuts
Vectores de Ataque: Scripting: Una vulnerabilidad en la sanitización de la entrada en el campo Title de 'My Preferences - Manage Shortcuts' permite inyectar código JavaScript que se ejecutará cuando el usuario acceda a la página web.
Al iniciar sesión en el panel, iremos a la sección "My Preferences - Manage Shortcuts" del menú General.
Editamos el menú Content - News con el payload que hemos creado y vemos que podemos inyectar código JavaScript arbitrario en el campo Title.
'"><svg/onload=alert('Title')>
En la siguiente imagen se puede ver el código incrustado que ejecuta el payload en la página web principal.
