FlatPress CMS XSS stocké dans v1.3.1

Exécution de code: ✅ (exécution JavaScript dans le navigateur de la victime)
Exploits potentiels: Détournement de session (vol de cookies administrateur). Attaques de hameçonnage (redirection des utilisateurs vers des sites malveillants). Défacement (injection de contenu indésirable dans la page).

CVE-2025-25460
Auteur : Athul S

Description

Une vulnérabilité de Cross-Site Scripting (XSS) stocké a été identifiée dans FlatPress 1.3.1 au niveau de la fonctionnalité « Ajouter un article ». Cette vulnérabilité permet à des attaquants authentifiés d’injecter des charges utiles JavaScript malveillantes dans les articles de blog, qui s’exécutent lorsque d’autres utilisateurs consultent les articles. Le problème provient d’une désinfection incorrecte des entrées du champ « Zone de texte » dans le formulaire de soumission d’article.

Vecteurs d’attaque

Un attaquant authentifié peut injecter une charge utile JavaScript malveillante dans l’article du blog.
La charge utile s’exécute lorsqu’un admin ou un autre utilisateur consulte l’article concerné.
Cela peut entraîner un détournement de session, du hameçonnage ou d’autres attaques côté client.