paragbagul111/cve-2024-33210È stata identificata una vulnerabilità di cross-site scripting (XSS) in Flatpress 1.3. Questa vulnerabilità consente a un attaccante di iniettare script dannosi nelle pagine web visualizzate da altri utenti.
È stata identificata una vulnerabilità di cross-site scripting (XSS) in Flatpress 1.3. Questa vulnerabilità consente a un attaccante di iniettare script dannosi nelle pagine web visualizzate da altri utenti.
Tipo di vulnerabilità: Cross Site Scripting (XSS)
Vendor del prodotto:
flatpress CMS
Base del codice del prodotto interessato:
Flatpress v1.3 - sarà corretto in FlatPress versione 1.3.
Componente interessato: URL
Impatto CVE Altro: Un attaccante può sfruttare questa vulnerabilità per eseguire codice arbitrario nel contesto del browser di un utente, portando potenzialmente a varie attività dannose come il furto di informazioni sensibili, il dirottamento della sessione o la diffusione di malware.
Riferimento: https://medium.com/@Parag_Bagul/preventing-cross-site-scripting-xss-attacks-with-the-html-special-characters-function-in-php-1b9db17bcdb4 https://owasp.org/www-community/attacks/xss/
POC:
1.Accedere al seguente URL: http://127.0.0.1/flatpress-1.2.1/admin.php?p=entry&entry=bmnik"onmouseover="alert(1)"style="position:absolute;width:100%;height:100%;top:0;left:0;"vqtz3&action=write
2.Sostituire "127.0.0.1" con il nome di dominio del sito web target.
3.Iniettare lo script dannoso per attivare la vulnerabilità XSS.
Video POC: https://drive.google.com/file/d/1CpVab51tsM-JXvgeSPzljhWbd91OTbxF/view
Scopritore: Parag Bagul
