CVE-2024-33299

Microweber <= 2.0.9 में संग्रहीत क्रॉस-साइट स्क्रिप्टिंग भेद्यता

सारांश :

Microweber v.2.0.9 में एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग भेद्यता एक दूरस्थ हमलावर को /admin/module/view?type=users एंडपॉइंट में प्रथम नाम (First Name) और अंतिम नाम (Last Name) पैरामीटर के माध्यम से मनमाना कोड निष्पादित करने की अनुमति देती है।

आवश्यकताएँ :

• Microweber संस्करण <= 2.0.9
• व्यवस्थापक पहुंच

पुनरुत्पादन के चरण :

1. प्रशासनिक विशेषाधिकारों के साथ एप्लिकेशन में प्रमाणित करें
2. /admin/users एंडपॉइंट पर जाएं
3. संपादित करने के लिए कोई भी उपयोगकर्ता चुनें (या एक बनाएं और फिर संपादित करें)
4. "प्रथम नाम" या "अंतिम नाम" में पेलोड `` डालें, क्योंकि दोनों फ़ील्ड जावास्क्रिप्ट इंजेक्शन को ट्रिगर कर सकते हैं
5. जावास्क्रिप्ट इंजेक्शन को ट्रिगर करने के लिए /admin/module/view?type=users एंडपॉइंट पर जाएं

प्रभावित घटक :

• /admin/module/view?type=users

प्रभाव :

एक हमलावर पीड़ित के ब्राउज़र में जावास्क्रिप्ट कोड निष्पादित कर सकता है, जानकारी प्राप्त कर सकता है या उपयोगकर्ता को दुर्भावनापूर्ण वेबसाइटों तक पहुंचने के लिए मजबूर कर सकता है, उदाहरण के लिए।