sromanhu/csz-cms-stored-xss---site-settingsCSZ CMS 1.3.0 est affecté par une vulnérabilité de type Cross-Site Scripting (XSS) qui permet à des attaquants d'exécuter du code arbitraire via un payload spécialement conçu envoyé au paramètre Additional Meta Tag dans le menu Site Settings.
Description : La vulnérabilité de type Cross Site Scripting dans CSZCMS v.1.3.0 permet à un attaquant local d'exécuter du code arbitraire via un script malveillant dans le paramètre Additional Meta Tag du menu Site Settings. Vecteurs d'attaque : Scripting. Une vulnérabilité dans l'assainissement de la saisie dans la balise Additional Meta Tag des « Site Settings » permet d'injecter du code JavaScript qui sera exécuté lorsque l'utilisateur accède à la page web et aux sous-pages.
Lors de la connexion au panneau, nous allons dans la section « Site Settings » du menu général [(http://localhost/cszcms/admin/settings)]
Nous modifions ce Site Settings que nous avons créé et constatons que nous pouvons injecter du code JavaScript arbitraire dans le champ Additional Meta Tag.
### Informations complémentaires :
http://cszcms.com
https://owasp.org/Top10/es/A03_2021-Injection/
https://owasp.org/www-community/attacks/xss/