sromanhu/cve-2023-43344-quick-cms-stored-xss---seo-meta-descriptionQuick CMS 6.7 は、攻撃者が Pages メニューの SEO メタ説明に細工したペイロードを介して任意のコードを実行できるようにするクロスサイトスクリプティング (XSS) の脆弱性の影響を受けます。
説明: Quick CMS v6.7 のクロスサイトスクリプティング (XSS) の脆弱性により、ローカルの攻撃者が、Pages Menu の SEO - Meta description に対して細工されたスクリプトを介して任意のコードを実行できます。
攻撃ベクトル: スクリプティング。Pages-SEO の Meta description への入力のサニタイズ処理における脆弱性により、ユーザーがWebページにアクセスしたときに実行されるJavaScriptコードを注入することが可能です。
パネルにログインしたら、General Menu の「Pages - SEO .」セクションに移動します。
そのSEO設定を編集すると、Meta Description フィールドに任意のJavaScriptコードを注入できることがわかります。
'"><svg/onload=alert('XSS')>
次の画像では、メインのWebページでペイロードを実行する埋め込みコードを確認できます。
