CVE-2025-60880: संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) Bagisto एडमिन पैनल में

Bagisto 2.3.6 एडमिन पैनल के उत्पाद निर्माण पथ में एक प्रमाणित संग्रहीत XSS भेद्यता मौजूद है, जो एक हमलावर को दुर्भावनापूर्ण JavaScript कोड युक्त एक क्राफ्टेड SVG फ़ाइल अपलोड करने की अनुमति देती है। इस भेद्यता का उपयोग एक प्रमाणित एडमिन उपयोगकर्ता द्वारा ब्राउज़र में मनमाना JavaScript निष्पादित करने के लिए किया जा सकता है, जिससे संभावित रूप से सत्र अपहरण, डेटा चोरी, या अनधिकृत कार्य हो सकते हैं।

---

भेद्यता अवलोकन

• CVE ID: CVE-2025-60880
• प्रकार: क्रॉस-साइट स्क्रिप्टिंग (XSS)
• CVSS स्कोर: 6.9 (मध्यम)
• CVSS वेक्टर: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:L/A:N
• प्रभावित विक्रेता: Bagisto
• प्रभावित उत्पाद: Bagisto
• प्रभावित संस्करण: v2.3.6
• प्रभावित घटक: Bagisto एडमिन पैनल (उत्पाद निर्माण पथ)
• हमला वेक्टर: दूरस्थ
• प्रमाणीकरण: एडमिन विशेषाधिकार आवश्यक
• प्रभाव: कोड निष्पादन, सत्र अपहरण, डेटा चोरी

---

प्रूफ ऑफ कॉन्सेप्ट (PoC)

भेद्यता तब शोषित होती है जब एक प्रमाणित एडमिनिस्ट्रेटर दुर्भावनापूर्ण JavaScript युक्त एक क्राफ्टेड SVG फ़ाइल अपलोड करता है।

पुनरुत्पादन के चरण:

1. एक प्रमाणित एडमिनिस्ट्रेटर के रूप में Bagisto एडमिन पैनल में लॉग इन करें।
2. उत्पाद निर्माण पथ पर नेविगेट करें।