FlatPress CMS XSS memorizzato in v1.3.1

CVE-2025-25460
Autore: Athul S

Descrizione

Una vulnerabilità di Cross-Site Scripting (XSS) memorizzato è stata identificata in FlatPress 1.3.1 all'interno della funzionalità "Add Entry". Questa vulnerabilità consente a attaccanti autenticati di iniettare payload JavaScript malevoli nei post del blog, che vengono eseguiti quando altri utenti visualizzano i post. Il problema deriva da una scarsa sanificazione degli input del campo "TextArea" nel modulo di invio delle voci del blog.

Vettori d'attacco

• Un attaccante autenticato può iniettare un payload JavaScript malevolo nella voce del blog.
• Il payload viene eseguito quando un amministratore o un altro utente visita la voce del blog interessata.
• Ciò potrebbe portare a hijacking di sessione, phishing o altri attacchi lato client.

Prova di concetto (PoC)

Passaggi per riprodurre:

1. Accedi come amministratore in FlatPress v1.3.1.

2. Vai alla sezione .