CVE-2024-33209

FlatPress 1.3. क्रॉस-साइट स्क्रिप्टिंग (XSS) के लिए संवेदनशील है। एक हमलावर "Add New Entry" अनुभाग में दुर्भावनापूर्ण JavaScript कोड इंजेक्ट कर सकता है, जो उन्हें पीड़ित के वेब ब्राउज़र के संदर्भ में मनमाना कोड निष्पादित करने की अनुमति देता है।

भेद्यता प्रकार: क्रॉस-साइट स्क्रिप्टिंग (XSS)

उत्पाद का विक्रेता :

flatpress CMS

प्रभावित उत्पाद कोड बेस :

Flatpress v1.3 - FlatPress संस्करण 1.3 में ठीक किया जाएगा।

प्रभावित घटक

एडमिन पैनल में Add New Entry सुविधा

हमले का प्रकार:

दूरस्थ

प्रभाव: इस भेद्यता का शोषण करने वाला हमलावर FlatPress CMS में दुर्भावनापूर्ण कोड इंजेक्ट कर सकता है, जिससे उपयोगकर्ता के सत्र टोकन, कुकीज़ या अन्य संवेदनशील जानकारी चुराने जैसी विभिन्न दुर्भावनापूर्ण गतिविधियाँ हो सकती हैं। वे वेबपेज की सामग्री को संशोधित भी कर सकते हैं, उपयोगकर्ताओं को दुर्भावनापूर्ण वेबसाइटों पर पुनर्निर्देशित कर सकते हैं, या पीड़ित की ओर से कार्य कर सकते हैं।

हमले के वेक्टर:

हमलावर पीड़ित को एक विशेष रूप से तैयार लिंक भेज सकता है।

संदर्भ

https://owasp.org/www-community/attacks/xss/

वीडियो POC:

https://drive.google.com/file/d/1AvPQszOimG8_zxiwoVnmeGGh8JY9J4IL/view

खोजकर्ता:

Parag Bagul