CVE-2022-36433

Cross-site Scripting (XSS) nella funzionalità di creazione di post del blog in Amasty Blog Pro per Magento 2

Descrizione

La funzionalità di creazione di post del blog nel plugin Amasty Blog Pro 2.10.3 per Magento 2 consente l'iniezione di codice JavaScript nei campi short_content e full_content, portando ad attacchi XSS contro gli utenti del pannello di amministrazione tramite posts/preview o posts/save.

Endpoint vulnerabili che sono i punti di iniezione per i parametri sopra menzionati:

• POST /admin/amasty_blog/posts/preview/key/{some_key}/?isAjax=true
• POST /admin/amasty_blog/posts/save/key/{some_key}/back/edit

Versioni interessate

< 2.10.5

Avviso

Aggiorna Amasty Blog Pro per Magento 2 alla versione 2.10.5 o successiva.

Riferimenti

• https://amasty.com/blog-pro-for-magento-2.html