CVE-2025-29602 - FlatPress CMS 1.3.1 における保存型クロスサイトスクリプティング (XSS) の脆弱性

説明

FlatPress CMS 1.3.1 の管理パネルには、保存型クロスサイトスクリプティング (XSS) の脆弱性が存在します。管理者権限を持つ攻撃者は、悪意のある JavaScript ペイロードをシステムに注入でき、これは永続的に保存されます。

一般ユーザーが侵害されたページ (例: ブログ記事) にアクセスすると、注入されたペイロードが被害者のブラウザ上で自動的に実行されます。

影響を受ける製品

• Flatpress
• バージョン : 1.3.1
• コンポーネント : カテゴリの編集

⚠️ 影響

• セッション Cookie の窃取。
• フィッシング攻撃
• リモートコード実行 (JavaScript 経由)
• ユーザーを悪意のあるサイトへリダイレクト。

POC

 :9

コード領域

Flatpress github

修正バージョン

FlatPress 1.4 "Notturno" リンク

CVE 割り当て

• CVE ID: CVE-2025-29602