CVE-2025-57520 – XSS persistente in Decap CMS (<= 3.8.3)

Esiste una vulnerabilità di cross-site scripting (XSS) persistente in Decap CMS fino alla versione 3.8.3.
Il problema interessa più campi di input nella interfaccia di amministrazione e si attiva quando un utente privilegiato apre il pannello di anteprima dei contenuti di una voce dannosa.

Riepilogo della vulnerabilità

• ID CVE: CVE-2025-57520
• Tipo: Cross-Site Scripting persistente (XSS)
• Versioni interessate: Decap CMS <= 3.8.3
• Componente interessato: Pannello di amministrazione → Anteprima contenuti (titolo, tag, descrizione, corpo)
• Impatto: Dirottamento di sessione, furto di credenziali, esecuzione arbitraria di JavaScript
• Scopritore: Onurcan Genç – Ricercatore di sicurezza indipendente

Proof of Concept (PoC)

Esempio di payload

">

Passaggi

1. Accedi come Contributor/Editor (privilegio basso).

2. Crea una nuova voce del blog.

3. Inserisci il payload in uno dei campi vulnerabili (es. titolo).

4. Salva la voce.

5. Accedi come Admin (privilegio elevato).

6. Apri la voce in Anteprima.

7. Il payload viene eseguito nel contesto del browser dell'amministratore.

Screenshot

Campi vulnerabili

L'admin apre l'anteprima → il payload viene eseguito:

Impatto

• XSS persistente in più campi (titolo, tag, descrizione, corpo)
• Esecuzione arbitraria di JavaScript nelle sessioni di admin/editor
• Può portare a:
  • Dirottamento di sessione
  • Furto di credenziali
  • Defacement dei contenuti
  • Iniezione di backdoor nei siti web generati

Riferimenti

• Advisory del blog: Analisi XSS di Decap CMS
• Record CVE: CVE-2025-57520 (attualmente RISERVATO)
• GitHub di Decap CMS: decaporg/decap-cms