CVE-2024-48652

Vulnerabilità di Cross Site Scripting in camaleon-cms v.2.7.5 consente a un attaccante remoto di eseguire codice arbitrario tramite il campo del nome del gruppo di contenuti

Passaggi per la riproduzione:

1.Aprire l'URL: http://127.0.0.1/admin/dashboard

2.Accedere utilizzando le credenziali di amministratore.

3.Navigare alla sezione "Settings".

4.Fare clic su "Content Groups".

5.Scegliere l'opzione "Edit" per un gruppo di contenuti.

6.Nel campo "Name", inserire il seguente payload XSS:

">

7.Salvare le modifiche. 8.Aggiornare la pagina o passare a un'altra sezione. 9.Il payload XSS verrà attivato e apparirà un avviso con "1".

Tipo di vulnerabilità: Cross Site Scripting (XSS)

Fornitore del prodotto: Camaleon-Cms

Base del codice del prodotto interessato: camaleon-cms - 2.7.5

Componente interessato: Impostazioni di Camaleon CMS - Campo del nome del gruppo di contenuti

Tipo di attacco: Remoto

Vettori di attacco: Il vettore di attacco prevede che un utente amministratore autenticato modifichi il campo del nome del "Content Group" per includere uno script dannoso. Questo script viene eseguito nel contesto di altri utenti che visualizzano il contenuto interessato, portando a un potenziale furto di dati o dirottamento della sessione.

Riferimento:

https://github.com/owen2345/camaleon-cms/blob/master/CHANGELOG.md

https://owasp.org/www-community/attacks/xss/

https://drive.google.com/drive/folders/1MdN4Nv0WKvD3oFANVsmBvWJtZslbYPAN?usp=sharing