CVE-2025-25062

• विवरण
• उपयोग
• उदाहरण
• समयरेखा

विवरण

Backdrop CMS 1.29.2 के पोस्ट संपादन पृष्ठ में एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता मौजूद है। यह स्क्रिप्ट एक CSRF पेलोड के साथ भेद्यता को जोड़कर 'Editor' की भूमिका से 'Administrator' तक विशेषाधिकार वृद्धि प्राप्त करती है।

प्रासंगिक लिंक:

• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-25062
• https://backdropcms.org/security/backdrop-sa-core-2025-001

उपयोग

usage: CVE-2025-25062.py [-h] [-u BACKDROP_URL] --editor-username EDITOR_USERNAME --editor-password EDITOR_PASSWORD [--post-title POST_TITLE]
                          [--post-html-body POST_HTML_BODY] [--proxy-host PROXY_HOST] [--proxy-port PROXY_PORT]

options:
  -h, --help            show this help message and exit
  -u BACKDROP_URL, --backdrop-url BACKDROP_URL
  --editor-username EDITOR_USERNAME
  --editor-password EDITOR_PASSWORD
  --post-title POST_TITLE
  --post-html-body POST_HTML_BODY
  --proxy-host PROXY_HOST
  --proxy-port PROXY_PORT

उदाहरण

1. editor और admin उपयोगकर्ताओं की प्रारंभिक अनुमतियों को देखें।

2. CVE-2025-25062.py स्क्रिप्ट चलाएं, Editor अनुमतियों वाले उपयोगकर्ता का उपयोगकर्ता नाम और पासवर्ड प्रदान करें।

3. admin उपयोगकर्ता के रूप में लॉगिन करें और स्क्रिप्ट द्वारा आउटपुट लिंक पर जाएं।

4. editor उपयोगकर्ता पर नई Administrator अनुमति देखें।

समयरेखा

• 2024-12-14: खोजा गया और Backdrop सुरक्षा टीम को रिपोर्ट किया गया।
• 2024-12-15: Backdrop सुरक्षा टीम द्वारा स्वीकार किया गया। जनवरी की शुरुआत में सुधार का निर्धारण।
• 2025-01-06: पैच मान्य किया गया।
• 2025-01-08: सुरक्षा अद्यतन 1.29.3 जारी किया गया।
• 2025-02-03: CVE-2025-25062 निर्दिष्ट किया गया।