Subrion CMS 4.2.1 – Vulnerabilità XSS riflessa nel template Kickstart

Descrizione

Subrion CMS è facile da installare e semplice da gestire. Utilizzalo come applicazione autonoma o in combinazione con altre applicazioni per creare siti di livello base, siti di medie o grandi dimensioni.

La vulnerabilità di Cross-site Scripting riflessa è stata scoperta nel template web "Kickstart" del Subrion CMS v.4.2.1 tramite il componente "search", che consente a un attaccante remoto di iniettare JavaScript arbitrario.

Data: 22-02-2022
Link del software: https://subrion.org
Autore dell'exploit: HaMM0nz
CVE: CVE-2020-18324
Categoria: Applicazione Web

Proof of Concept

1. Naviga al template Kickstart di Subrion
2. Inietta nel parametro “q”, nell'exploit PoC sarà https://localhost/search/?q=

Cronologia

Scoperta e segnalazione : 24 giugno 2019
È stato assegnato l'ID CVE : 11 agosto 2021
Pubblicazione : 22 febbraio 2022

Soluzione

Prendi in considerazione l'adesione alle linee guida OWASP per la prevenzione delle XSS. (https://cheatsheetseries.owasp.org/cheatsheets/Cross_Site_Scripting_Prevention_Cheat_Sheet.html)