CVE-2023-44760

सारांश

# Concrete CMS v.9.2.1 में एकाधिक क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यताएँ Concrete CMS v.9.2.1 में एकाधिक क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यताएँ एक हमलावर को SEO & Statistics के हेडर और फुटर ट्रैकिंग कोड्स में एक क्राफ्टेड स्क्रिप्ट के माध्यम से मनमाना कोड निष्पादित करने की अनुमति देती हैं। ध्यान दें: विक्रेता इस बात से असहमत है क्योंकि ये हेडर/फुटर परिवर्तन केवल एक व्यवस्थापक द्वारा किए जा सकते हैं, और व्यवस्थापक को वहाँ JavaScript रखने की अनुमति देना एक जानबूझकर अनुकूलन सुविधा है। साथ ही, "sromanhu" द्वारा दावा की गई शोषण विधि Concrete CMS सत्र तक कोई पहुँच प्रदान नहीं करती है, क्योंकि Concrete CMS सत्र कुकी HttpOnly के रूप में कॉन्फ़िगर की गई है।

• CVE-2023-44760_ConcreteCMS-Stored-XSS---TrackingCodesPoC

  ConcreteCMS v.9.2.1 में Multiple Cross Site Scripting भेद्यता एक स्थानीय हमलावर को SEO & Statistics के Header और Footer Tracking Codes में निर्मित स्क्रिप्ट के माध्यम से मनमाना कोड निष्पादित करने की अनुमति देती है।