CVE-2025-63915-There-is-a-Reflected-xss-vulnerability-exists-in-DoraCMS

CVE-2025-63915

Objetivo:https://www.html-js.cn

Github:https://github.com/doramart/DoraCMS

Versión:V2.1.8

Nombre de la vulnerabilidad:Vulnerabilidad de Cross-Site Scripting Reflejado (XSS Reflejado) en DoraCMS V2.1.8 (CWE-79) Tipo de vulnerabilidad: Cross-Site Scripting Reflejado (XSS Reflejado) Fecha de descubrimiento: 2025-10-17

Detalles de la vulnerabilidad:

DoraCMS es un Sistema de Gestión de Contenidos (CMS) desarrollado con Node.js + Express + MongoDB, utilizado principalmente para crear sitios web de forma rápida. En su versión V2.1.8, la lógica de procesamiento del parámetro de ruta de la función "tag page" presenta fallos: cuando un usuario introduce contenido con código HTML/JavaScript malicioso, el sistema no realiza una validación ni codificación adecuadas de la entrada. En su lugar, refleja directamente la entrada en los elementos de texto o atributos HTML de la página, lo que da lugar a una vulnerabilidad de cross-site scripting. Los atacantes pueden construir URLs maliciosas e inducir a los usuarios a acceder a ellas para desencadenar la ejecución de código malicioso y, de este modo, robar las sesiones de los usuarios, suplantar sus identidades o manipular el contenido de la página.