CVE-2024-25412

Flatpress v1.3 のクロスサイトスクリプティング (XSS) 脆弱性により、攻撃者が email フィールドに注入した細工されたペイロードを介して、任意の Web スクリプトまたは HTML を実行できる可能性があります。

脆弱性の種類:

クロスサイトスクリプティング (XSS)

製品ベンダー:

影響を受ける製品コードベース

影響を受けるバージョン: FlatPress 1.2.1 最新版 - FlatPress バージョン 1.3 で修正予定。

影響を受けるコンポーネント:

FlatPress インストーラーにおけるクロスサイトスクリプティング (XSS) (email パラメータ)

攻撃タイプ:

リモート

発見者:

Parag Bagul

参照:

再現手順:

1.信頼できるソースから FlatPress CMS をダウンロードします。(https://github.com/flatpressblog/flatpress)

2.次のコマンドを使用してローカル PHP サーバーを起動します: php -S 127.0.0.1:80

3.ブラウザで次の URL を開きます: https://127.0.0.1/setup.php

"email" フィールドに、以下のペイロードを挿入します。画面に数字の "1" を表示するポップアップが表示され、ペイロードの実行が成功したことが確認できます。その後、"Next" ボタンをクリックして続行します。


"> or "><script>alert(1)</script>