sromanhu/cve-2023-43345-quick-cms-stored-xss---pages-contentQuick CMS 6.7 क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता से प्रभावित है, जो हमलावरों को Pages Menu में Content- Name में एक विशेष रूप से तैयार पेलोड के माध्यम से मनमाना कोड निष्पादित करने की अनुमति देता है।
विवरण: Quick CMS v6.7 में क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता एक स्थानीय हमलावर को Pages Menu में Content - Name में एक क्राफ्टेड स्क्रिप्ट के माध्यम से मनमाना कोड निष्पादित करने की अनुमति देती है।
हमले के वेक्टर: स्क्रिप्टिंग। Pages Menu की Content की Name में प्रविष्टि की सैनिटाइज़ेशन में एक भेद्यता JavaScript कोड इंजेक्ट करने की अनुमति देती है जो उपयोगकर्ता के वेब पेज तक पहुँचने पर निष्पादित होगा।
पैनल में लॉग इन करने पर, हम Pages के "Content - Name" अनुभाग में जाएँगे।
हम उस Content Settings को संपादित करते हैं और देखते हैं कि हम Name फ़ील्ड में मनमाना JavaScript कोड इंजेक्ट कर सकते हैं।
<svg/onload=alert(document.domain)>
निम्नलिखित छवि में आप एम्बेडेड कोड देख सकते हैं जो मुख्य वेब में पेलोड को निष्पादित करता है।
