sromanhu/cve-2023-43344-quick-cms-stored-xss---seo-meta-descriptionQuick CMS 6.7, क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता से प्रभावित है, जो हमलावरों को पेजेज़ मेनू में SEO- मेटा विवरण में तैयार किए गए पेलोड के माध्यम से मनमाना कोड निष्पादित करने की अनुमति देती है।
विवरण: Quick CMS v6.7 में एक क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता एक स्थानीय हमलावर को Pages Menu में SEO - Meta description में एक क्राफ्टेड स्क्रिप्ट के माध्यम से मनमाना कोड निष्पादित करने की अनुमति देती है।
हमले के वेक्टर: स्क्रिप्टिंग: "Pages-SEO" की Meta description में प्रविष्टि के सैनिटाइज़ेशन में एक भेद्यता JavaScript कोड इंजेक्ट करने की अनुमति देती है, जो उपयोगकर्ता के वेब पेज तक पहुँचने पर निष्पादित होगा।
पैनल में लॉग इन करने पर, हम General Menu के "Pages - SEO." अनुभाग में जाएंगे।
हम उस SEO सेटिंग्स को संपादित करते हैं और देखते हैं कि हम Meta Description फ़ील्ड में मनमाना JavaScript कोड इंजेक्ट कर सकते हैं।
'"><svg/onload=alert('XSS')>
निम्नलिखित छवि में आप एम्बेडेड कोड देख सकते हैं जो मुख्य वेब में पेलोड को निष्पादित करता है।
