CVE-2024-33210

Flatpress 1.3 にクロスサイトスクリプティング（XSS）の脆弱性が確認されました。この脆弱性により、攻撃者は悪意のあるスクリプトを他のユーザーが閲覧する Web ページに注入することが可能になります。

脆弱性タイプ: クロスサイトスクリプティング（XSS）

製品ベンダー:

flatpress CMS

影響を受ける製品コードベース:

Flatpress v1.3 - FlatPress バージョン 1.3 で修正予定。

影響を受けるコンポーネント: URL

CVE 影響その他: 攻撃者はこの脆弱性を悪用して、ユーザーのブラウザコンテキストで任意のコードを実行し、機密情報の窃取、セッションハイジャック、マルウェアの拡散などの悪意のある活動につながる可能性があります。

参照: https://medium.com/@Parag_Bagul/preventing-cross-site-scripting-xss-attacks-with-the-html-special-characters-function-in-php-1b9db17bcdb4 https://owasp.org/www-community/attacks/xss/

PoC:

1. 次のURLにアクセスします: http://127.0.0.1/flatpress-1.2.1/admin.php?p=entry&entry=bmnik"onmouseover="alert(1)"style="position:absolute;width:100%;height:100%;top:0;left:0;"vqtz3&action=write

2. 「127.0.0.1」をターゲットWebサイトのドメイン名に置き換えます。

3. 悪意のあるスクリプトを注入してXSS脆弱性をトリガーします。

動画PoC: https://drive.google.com/file/d/1CpVab51tsM-JXvgeSPzljhWbd91OTbxF/view

発見者: Parag Bagul