sromanhu/cve-2023-43343-quick-cms-stored-xss---pages-filesQuick CMS 6.7 は、攻撃者がページメニュー内の「ファイル - 説明」に細工されたペイロードを介して任意のコードを実行できるようにする、クロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。
説明: Quick CMS v6.7 の複数のクロスサイトスクリプティング (XSS) 脆弱性により、ローカル攻撃者が Pages メニューの Files - Description に細工したスクリプトを介して任意のコードを実行できる可能性があります。
攻撃ベクトル: スクリプティング。Pages- Files Menu の Description エントリのサニタイズ処理に脆弱性があり、ユーザーが Web ページにアクセスした際に実行される JavaScript コードを注入できる可能性があります。
パネルにログインすると、General Menu の「Pages - Files .」セクションに移動します。
その Description 設定を編集すると、Desription フィールドに任意の JavaScript コードを注入できることがわかります。
'"><svg/onload=alert('Description')>
次の画像では、メイン Web ページでペイロードを実行する埋め込みコードを確認できます。
