CVE-2023-5024

• エクスプロイトタイトル: PLANNO 23.04.04 COMMENT CROSS SITE SCRIPTING
• エクスプロイト作者: Angel Metz AKA PH03N1XSP
• ベンダーホームページ: Planno
• ソフトウェアリンク: GitHub - PlanningBiblio
• バージョン: <= 23.04.04
• テスト環境: Linux
• CVE-2023-5024

PLANNO バージョン <= 23.04.04 に脆弱性が発見され、問題があると分類されています。この脆弱性は、Comment Handler コンポーネントのコードの未公開部分に影響を与え、クロスサイトスクリプティング (XSS) 攻撃を引き起こす可能性があります。CVE-2023-5024 という名前が割り当てられています。重要なのは、この種の攻撃はリモートから開始できることであり、さらに、この脆弱性を悪用するためのエクスプロイトが存在することが知られています。

説明: PLANNO 23.04.04 COMMENT CROSS SITE SCRIPTING

1つ目のパス

1. 認証情報を使用してログインします。
2. 下部に移動し、「Ajouter un commentaire」をクリックします。
3. リフレクテッドXSSを発生させる悪意のあるスクリプトを記述します ("><script>alert(1);</script>)。
4. スクリプトを入力したら、リフレクテッドXSSを確認します。

2つ目のパス

1. 認証情報を使用してログインします。
2. 右上に移動し、「Enregistrer comme modele」をクリックします。
3. 「Nom du module」に、リフレクテッドXSSを発生させる悪意のあるスクリプトを記述し ("><script>alert(1);</script>)、その後「Enregistrer」をクリックします。
4. スクリプトを入力したら、リフレクテッドXSSを確認します。

詳細については、以下のリンクをご参照ください:

• CVE-2023-5024 - NVD
• CVE-2023-5024 - VulDB
• CVE-2023-5024 - INCIBE
• CVE-2023-5024 - CVE Report
• CVE-2023-5024 - Debricked
• CVE-2023-5024 - GitHub Advisories
• CVE-2023-5024 - MITRE CVE