sromanhu/cve-2023-43358-cmsmadesimple-stored-xss---newsCMSmadesimple v.2.2.18 のクロスサイトスクリプティング（XSS）脆弱性により、ローカルの攻撃者が Content - News メニューの Title に細工したスクリプトを介して任意のコードを実行できる。
説明: CMSmadesimple v.2.2.18 のクロスサイトスクリプティング（XSS）の脆弱性により、ローカルの攻撃者が Content - News メニューの Title に巧妙に細工したスクリプトを介して任意のコードを実行できる可能性があります。
攻撃ベクトル: スクリプティング。「Content - News メニュー」の Title フィールドの入力サニタイズ処理に脆弱性があり、ユーザーがウェブページにアクセスしたときに実行される JavaScript コードを注入することが可能です。
パネルにログインしたら、一般メニューの「Content - News」セクションに移動します。
作成したペイロードを使用して「Content - News」メニューを編集すると、Title フィールドに任意の JavaScript コードを注入できることがわかります。
'"><svg/onload=prompt('Title')>
次の画像では、メインのウェブページでペイロードを実行する埋め込みコードを確認できます。
