CVE-2024-33297

Vulnérabilité de script intersite (XSS) stocké dans Microweber <= 2.0.9

Résumé :

Une vulnérabilité de script intersite (XSS) stocké dans Microweber v.2.0.9 permet à un attaquant distant d'exécuter du code arbitraire via le champ « Nom de la campagne (nom interne) » dans la fonction « Ajouter une nouvelle campagne ».

Prérequis :

• Microweber version <= 2.0.9
• Accès administrateur

Étapes pour reproduire :

1. Authentifiez-vous à l'application avec des privilèges administratifs
2. Accédez au point de terminaison /admin/modules/newsletter/lists et cliquez sur « + Ajouter une nouvelle liste »
3. Insérez la charge utile `` dans le champ « Nom de la liste »
4. Cliquez sur « Enregistrer » pour déclencher l'injection JavaScript. L'injection sera déclenchée lors de l'affichage des campagnes actuelles ainsi que sur l'onglet de création d'un nouvel abonné.

Composants concernés :

• /admin/modules/newsletter

Impact :

Un attaquant pourrait exécuter du code JavaScript dans le navigateur de la victime, obtenant des informations ou forçant l'utilisateur à accéder à des sites web malveillants, par exemple.