Subrion CMS 4.2.1 – Kickstart टेम्पलेट में परावर्तित XSS भेद्यता

विवरण

Subrion CMS स्थापित करना आसान है और प्रबंधित करना सरल है। इसका उपयोग एक स्वतंत्र अनुप्रयोग के रूप में या अन्य अनुप्रयोगों के साथ मिलकर छोटी, मध्यम या बड़ी साइटें बनाने के लिए करें।

परावर्तित क्रॉस-साइट स्क्रिप्टिंग भेद्यता Subrion CMS v.4.2.1 के "Kickstart" वेब एप्लिकेशन टेम्पलेट में "search" घटक के माध्यम से पाई गई, जो एक दूरस्थ हमलावर को मनमाना जावास्क्रिप्ट इंजेक्ट करने की अनुमति देती है।

तारीख: 22-02-2022
सॉफ्टवेयर लिंक: https://subrion.org
शोषण लेखक: HaMM0nz
CVE: CVE-2020-18324
श्रेणी: वेब एप्लिकेशन

साक्ष्य अवधारणा

1. Subrion Kickstart टेम्पलेट पर जाएँ
2. “q” पैरामीटर में <script>alert(document.cookie);</script> इंजेक्ट करें, PoC शोषण में यह https://localhost/search/?q= होगा।

समयरेखा

खोज और रिपोर्ट : 24 June 2019
CVE ID निर्धारित किया गया : 11 Aug 2021
सार्वजनिक : 22 February 2022

समाधान

OWASP के XSS रोकथाम दिशानिर्देशों का पालन करने पर विचार करें। (https://cheatsheetseries.owasp.org/cheatsheets/Cross_Site_Scripting_Prevention_Cheat_Sheet.html)