CVE-2025-44108 - FlatPress CMS 1.3.1 में संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता

विवरण

Flatpress CMS 1.3.1 के प्रशासन पैनल में एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता मौजूद है। एक हमलावर प्रशासक विशेषाधिकारों के साथ सिस्टम में एक दुर्भावनापूर्ण जावास्क्रिप्ट पेलोड इंजेक्ट कर सकता है, जो फिर स्थायी रूप से संग्रहीत हो जाता है।

जब कोई सामान्य उपयोगकर्ता समझौता किए गए पृष्ठ (जैसे, एक ब्लॉग पोस्ट) पर जाता है, तो इंजेक्ट किया गया पेलोड पीड़ित के ब्राउज़र में स्वचालित रूप से निष्पादित हो जाता है।

प्रभावित उत्पाद

• Flatpress
• संस्करण : <=1.3.1
• घटक : गैलरी कैप्शन

⚠️ प्रभाव

• सत्र कुकीज़ चुराना।
• फिशिंग हमले
• उपयोगकर्ताओं को दुर्भावनापूर्ण साइटों पर पुनर्निर्देशित करना।

पुनरुत्पादन के चरण:

1. एक विश्वसनीय स्रोत से FlatPress CMS डाउनलोड करें। (https://github.com/flatpressblog/flatpress)

2. कमांड का उपयोग करके एक स्थानीय PHP सर्वर प्रारंभ करें: php -S 127.0.0.1:80

3. अपने ब्राउज़र में निम्नलिखित URL खोलें: