sromanhu/cve-2023-43342-quick-cms-stored-xss---languages-frontendQuick CMS 6.7 est affecté par une vulnérabilité de type Cross-Site Scripting (XSS) qui permet aux attaquants d'exécuter du code arbitraire via un payload spécialement conçu envoyé aux Frontend-Pages dans le menu Languages.
Description : Une vulnérabilité de type Cross-Site Scripting (XSS) dans Quick CMS v6.7 permet à un attaquant local d'exécuter du code arbitraire via un script malveillant dans le champ Pages des paramètres Front and back end du menu Languages.
Vecteurs d'attaque : Scripting. Une vulnérabilité dans l'assainissement de la saisie dans le champ Pages de « Languages - Front and back end » permet d'injecter du code JavaScript qui sera exécuté lorsque l'utilisateur accède à la page web.
Lors de la connexion au panneau, nous allons dans la section « Languages - Front and back end » du menu General.
Nous modifions ces paramètres Front and back end et constatons que nous pouvons injecter du code JavaScript arbitraire dans le champ Pages.
'"><svg/onload=alert('Pages')>
Dans l'image suivante, vous pouvez voir le code intégré qui exécute le payload dans la page web principale.
