CVE-2024-33297

Vulnerabilità di Cross Site Scripting persistente in Microweber <= 2.0.9

Riepilogo:

Una vulnerabilità di Cross Site Scripting persistente in Microweber v.2.0.9 consente a un attaccante remoto di eseguire codice arbitrario tramite il campo "Nome campagna (Nome interno)" nella funzione "Aggiungi nuova campagna".

Requisiti:

• Microweber versione <= 2.0.9
• Accesso amministrativo

Passaggi per la riproduzione:

1. Autenticarsi nell'applicazione con privilegi amministrativi
2. Andare all'endpoint /admin/modules/newsletter/lists e fare clic su "+ Aggiungi nuova lista"
3. Inserire il payload `` nel campo "Nome lista"
4. Fare clic su "Salva" per attivare l'iniezione JavaScript. L'iniezione verrà attivata quando si elencano le campagne correnti e anche nella scheda di creazione di un nuovo abbonato.

Componenti interessati:

• /admin/modules/newsletter

Impatto:

Un attaccante potrebbe eseguire codice JavaScript nel browser della vittima, ottenendo informazioni o costringendo l'utente ad accedere a siti web dannosi, ad esempio.