CMSmadesimple Stored XSS v2.2.18

著者: (Sergio)

説明: CMSmadesimple v.2.2.18 のクロスサイトスクリプティング（XSS）の脆弱性により、ローカル攻撃者が「設定 - グローバル設定メニュー」内のグローバルメタデータ（Global Meatadata）に細工したスクリプトを介して任意のコードを実行できる可能性があります。

攻撃ベクトル: スクリプティング。「設定 - グローバル設定メニュー」のグローバルメタデータ（Global Meatadata）への入力のサニタイズ処理に脆弱性があり、ユーザーがウェブページにアクセスしたときに実行される JavaScript コードを注入することができます。

POC:

パネルにログインしたら、一般メニューの「設定 - グローバル設定メニュー」セクションに移動します。

XSS グローバルメタデータ

作成したグローバル設定メニューを編集すると、グローバルメタデータ（Global Meatadata）フィールドに任意の JavaScript コードを注入できることがわかります。

XSS ペイロード:



### 追加情報:
http://www.cmsmadesimple.org/

https://owasp.org/Top10/es/A03_2021-Injection/

CVE-2023-43356-CMSmadesimple-Stored-XSS---Global-Settings

人気