CVE-2024-33297

Microweber <= 2.0.9 में संग्रहीत क्रॉस-साइट स्क्रिप्टिंग भेद्यता

सारांश :

Microweber v.2.0.9 में एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग भेद्यता एक दूरस्थ हमलावर को "Add new campaign" फ़ंक्शन में campaign Name (Internal Name) फ़ील्ड के माध्यम से मनमाना कोड निष्पादित करने की अनुमति देती है।

आवश्यकताएँ :

• Microweber संस्करण <= 2.0.9
• व्यवस्थापक पहुँच

पुनरुत्पादन के चरण :

1. प्रशासनिक विशेषाधिकारों के साथ एप्लिकेशन को प्रमाणित करें
2. एंडपॉइंट /admin/modules/newsletter/lists पर जाएं और "+ Add new list" पर क्लिक करें
3. "List name" फ़ील्ड में पेलोड `` डालें
4. जावास्क्रिप्ट इंजेक्शन ट्रिगर करने के लिए "Save" पर क्लिक करें। इंजेक्शन वर्तमान कैंपेन की सूची देखते समय और नए सब्सक्राइबर के निर्माण टैब पर भी ट्रिगर होगा।

प्रभावित घटक :

• /admin/modules/newsletter

प्रभाव :

एक हमलावर पीड़ित के ब्राउज़र में जावास्क्रिप्ट कोड निष्पादित कर सकता है, जानकारी प्राप्त कर सकता है या उपयोगकर्ता को दुर्भावनापूर्ण वेबसाइटों तक पहुँचने के लिए मजबूर कर सकता है, उदाहरण के लिए।