CVE-2024-33299

Microweber <= 2.0.9 における格納型クロスサイトスクリプティング（Stored XSS）の脆弱性

概要 :

Microweber v.2.0.9 における格納型クロスサイトスクリプティング（Stored XSS）の脆弱性により、リモートの攻撃者がエンドポイント /admin/module/view?type=users の 名（First Name） および 姓（Last Name） パラメータを介して任意のコードを実行できる可能性があります。

要件 :

• Microweber バージョン <= 2.0.9
• 管理者アクセス権

再現手順 :

1. 管理者権限でアプリケーションに認証する
2. エンドポイント /admin/users に移動する
3. 編集するユーザーを選択する（またはユーザーを作成して後で編集する）
4. 「名（First Name）」 または 「姓（Last Name）」 のいずれかにペイロード `` を挿入する（両方のフィールドで JavaScript インジェクションをトリガーできるため）
5. エンドポイント /admin/module/view?type=users に移動して JavaScript インジェクションをトリガーする

影響を受けるコンポーネント :

• /admin/module/view?type=users

影響 :

攻撃者は被害者のブラウザで JavaScript コードを実行し、情報を取得したり、ユーザーを悪意のあるウェブサイトに強制的にアクセスさせたりする可能性があります。

関連リファレンス

https://www.cve.org/CVERecord?id=CVE-2024-33299