sromanhu/cve-2023-43345-quick-cms-stored-xss---pages-contentQuick CMS 6.7 è interessato da una vulnerabilità di Cross-Site Scripting (XSS) che consente agli attaccanti di eseguire codice arbitrario tramite un payload appositamente predisposto nel campo Content- Name del Pages Menu.
Descrizione: Una vulnerabilità di Cross-Site Scripting (XSS) in Quick CMS v6.7 consente a un attaccante locale di eseguire codice arbitrario tramite uno script appositamente predisposto nel campo Content - Name del menu Pages.
Vettori di attacco: Scripting: una vulnerabilità nella sanificazione dell'input nel campo Nome del Contenuto del menu Pages consente di iniettare codice JavaScript che verrà eseguito quando l'utente accede alla pagina web.
Quando si accede al pannello, andiamo alla sezione "Content - Name" delle Pagine.
Modifichiamo le impostazioni del contenuto e vediamo che possiamo iniettare codice JavaScript arbitrario nel campo Name.
<svg/onload=alert(document.domain)>
Nell'immagine seguente puoi vedere il codice incorporato che esegue il payload nella pagina web principale.
