CVE-2024-33297

Microweber <= 2.0.9 における格納型クロスサイトスクリプティング（Stored XSS）の脆弱性

概要 :

Microweber v.2.0.9 における格納型クロスサイトスクリプティング（Stored XSS）の脆弱性により、リモートの攻撃者が「Add new campaign」機能のキャンペーン名（内部名）フィールドを介して任意のコードを実行できる可能性があります。

要件 :

• Microweber バージョン <= 2.0.9
• 管理者アクセス権

再現手順 :

1. 管理者権限でアプリケーションに認証する
2. エンドポイント /admin/modules/newsletter/lists に移動し、「+ Add new list」 をクリックする
3. 「List name」 フィールドにペイロード `` を挿入する
4. 「Save」 をクリックして JavaScript インジェクションをトリガーする。このインジェクションは、現在のキャンペーンを一覧表示したとき、および新しい購読者の作成タブでもトリガーされます。

影響を受けるコンポーネント :

• /admin/modules/newsletter

影響 :

攻撃者は被害者のブラウザで JavaScript コードを実行し、情報を取得したり、ユーザーを悪意のある Web サイトに強制的にアクセスさせたりする可能性があります。

関連リファレンス

https://www.cve.org/CVERecord?id=CVE-2024-33297