sromanhu/cve-2023-43339-cmsmadesimple-reflected-xss---installationCMSmadesimple 2.2.18 est affecté par une vulnérabilité de type Cross-Site Scripting (XSS) qui permet aux attaquants d'exécuter du code arbitraire via une charge utile spécialement conçue dans le processus d'installation.
Description : De multiples vulnérabilités de Cross-Site Scripting (XSS) dans l'installation de cmsmadesimple v.2.2.18 permettent à un attaquant local d'exécuter des scripts web arbitraires via une charge utile (payload) conçue et injectée dans le nom de la base de données, l'utilisateur de la base de données ou le port de la base de données.
Vecteurs d'attaque : Une vulnérabilité dans l'assainissement de l'installation concernant le nom de la base de données, le nom d'utilisateur et le port permet d'injecter du code JavaScript.
Pendant le processus d'installation, nous saisissons la charge utile XSS dans l'un des 3 champs et lorsque nous cliquons sur suivant, nous obtenons la pop-up XSS.
"' on focus="alert(1)" autofocus="
Dans l'image suivante, vous pouvez voir le code incorporé qui exécute la charge utile dans le processus d'installation.
