CVE-2024-48652

camaleon-cms v.2.7.5 में क्रॉस साइट स्क्रिप्टिंग भेद्यता, जो दूरस्थ हमलावर को सामग्री समूह नाम फ़ील्ड के माध्यम से मनमाना कोड निष्पादित करने की अनुमति देती है

पुनरुत्पादन के चरण:

1. URL खोलें: http://127.0.0.1/admin/dashboard

2. व्यवस्थापक क्रेडेंशियल का उपयोग करके लॉगिन करें।

3. "सेटिंग्स" अनुभाग पर जाएँ।

4. "सामग्री समूह" पर क्लिक करें।

5. किसी सामग्री समूह के लिए "संपादित करें" विकल्प चुनें।

6. "नाम" फ़ील्ड में निम्नलिखित XSS पेलोड दर्ज करें:

">

7. परिवर्तन सहेजें।
8. पृष्ठ को रीफ्रेश करें या किसी अन्य अनुभाग पर जाएँ।
9. XSS पेलोड सक्रिय हो जाएगा, और "1" के साथ एक अलर्ट पॉप अप होगा।

भेद्यता प्रकार : क्रॉस साइट स्क्रिप्टिंग (XSS)

उत्पाद का विक्रेता : कैमेलियन-सीएमएस

प्रभावित उत्पाद कोड बेस : camaleon-cms - 2.7.5

प्रभावित घटक : Camaleon CMS सेटिंग्स - सामग्री समूह नाम फ़ील्ड

हमले का प्रकार : दूरस्थ

हमले के वैक्टर: हमले के वेक्टर में एक लॉग-इन व्यवस्थापक उपयोगकर्ता द्वारा "सामग्री समूह" नाम फ़ील्ड को संशोधित करना शामिल है ताकि एक दुर्भावनापूर्ण स्क्रिप्ट शामिल हो। यह स्क्रिप्ट उन अन्य उपयोगकर्ताओं के संदर्भ में निष्पादित होती है जो प्रभावित सामग्री को देखते हैं, जिससे संभावित डेटा चोरी या सत्र अपहरण हो सकता है।

संदर्भ:

https://github.com/owen2345/camaleon-cms/blob/master/CHANGELOG.md

https://owasp.org/www-community/attacks/xss/

https://drive.google.com/drive/folders/1MdN4Nv0WKvD3oFANVsmBvWJtZslbYPAN?usp=sharing