Anchor CMS v0.12.7 - XSS Memorizzato (CVE-2025-46041)

Anchor CMS v0.12.7 è vulnerabile a una vulnerabilità di Cross-Site Scripting Memorizzato (XSS) nel campo description dell'interfaccia /admin/pages/add.

CVE ID

CVE-2025-46041

Riepilogo

• Tipo: XSS Memorizzato
• Posizione: Interfaccia di creazione pagina (/admin/pages/add)
• Impatto: Esecuzione arbitraria di JavaScript
• Autenticazione Richiesta: Sì (utente admin o editor)
• Versione Interessata: Anchor CMS v0.12.7 (ultima stabile al momento della scoperta)

Proof of Concept

1. Accedi a /admin

2. Vai su Pagine > Aggiungi Pagina

3. Nel campo Descrizione, inserisci:

   root@kitploit:~

   <script>alert(document.domain)</script>
   

4. Salva la pagina.

5. Rivisita la vista della pagina — il payload viene eseguito.

Componente Interessato

• File: anchor/routes/pages.php
• Campo: description

Testato Su

• Ubuntu 22.04
• Apache2 + PHP 8.1
• Anchor CMS v0.12.7 (installazione pulita)

Scopritore

@binneko

Riferimenti

• Anchor CMS GitHub
• CVE Record - CVE-2025-46041

Disclaimer

Solo per scopi educativi e difensivi.