CVE-2022-36433

Cross-site Scripting (XSS) dans la fonctionnalité de création d'articles de blog dans Amasty Blog Pro pour Magento 2

Description

La fonctionnalité de création d'articles de blog dans le plugin Amasty Blog Pro 2.10.3 pour Magento 2 permet l'injection de code JavaScript dans les champs short_content et full_content, conduisant à des attaques XSS contre les utilisateurs du panneau d'administration via posts/preview ou posts/save.

Points de terminaison vulnérables qui sont les points d'injection pour les paramètres mentionnés ci-dessus :

• POST /admin/amasty_blog/posts/preview/key/{some_key}/?isAjax=true
• POST /admin/amasty_blog/posts/save/key/{some_key}/back/edit

Versions affectées

< 2.10.5

Avis

Mettez à jour Amasty Blog Pro pour Magento 2 vers la version 2.10.5 ou une version plus récente.

Références

• https://amasty.com/blog-pro-for-magento-2.html