CVE-2025-44108 - Vulnerabilità di cross-site scripting (XSS) memorizzato nel CMS FlatPress 1.3.1

Descrizione

Nel pannello di amministrazione di Flatpress CMS 1.3.1 esiste una vulnerabilità di Cross-Site Scripting (XSS) memorizzato. Un attaccante con privilegi di amministratore può iniettare un payload JavaScript dannoso nel sistema, che viene poi memorizzato in modo persistente.

Quando un utente normale visita la pagina compromessa (ad es. un post del blog), il payload iniettato viene eseguito automaticamente nel browser della vittima.

Prodotto interessato

Flatpress
Versione : <=1.3.1
Componente : Didascalie della galleria

⚠️ Impatto

Rubare i cookie di sessione.
Attacchi di phishing
Reindirizzare gli utenti a siti dannosi.

Passaggi per riprodurre:

1.Scarica il CMS FlatPress da una fonte affidabile. (https://github.com/flatpressblog/flatpress)

2.Avvia un server PHP locale usando il comando: php -S 127.0.0.1:80

3.Apri il seguente URL nel browser: http://127.0.0.1/admin.php?p=uploader&action=gallerycaptions

4.Nell'area di amministrazione -> uploader->Gallery Captions, in quell'area puoi modificare la didascalia delle immagini, iniettare il payload e salvare; quando un visitatore del sito o un amministratore visita il post del blog, la XSS memorizzata verrà eseguita.

Imge