CVE-2024-33299

Vulnérabilité de Cross Site Scripting stocké dans Microweber <= 2.0.9

Résumé :

Une vulnérabilité de Cross Site Scripting stocké dans Microweber v.2.0.9 permet à un attaquant distant d'exécuter du code arbitraire via les paramètres Prénom et Nom dans le point de terminaison /admin/module/view?type=users

Prérequis :

• Microweber version <= 2.0.9
• Accès administrateur

Étapes pour reproduire :

1. Authentifiez l'application avec des privilèges administratifs
2. Accédez au point de terminaison /admin/users
3. Sélectionnez un utilisateur à modifier (ou créez-en un puis modifiez-le)
4. Insérez la charge utile `` dans le champ « Prénom » ou « Nom », car les deux champs peuvent déclencher l'injection JavaScript
5. Accédez au point de terminaison /admin/module/view?type=users pour déclencher l'injection JavaScript

Composants concernés :

• /admin/module/view?type=users

Impact :