sromanhu/cve-2023-44761_concretecms-stored-xss---formsConcreteCMS v.9.2.1におけるクロスサイトスクリプティングの脆弱性により、ローカル攻撃者がData Objectsのフォームに細工したスクリプトを介して任意のコードを実行できる可能性があります。
説明: ConcreteCMS v.9.2.1 には複数のクロスサイトスクリプティング（XSS）の脆弱性が存在し、ローカル攻撃者が Data Objects の Forms に細工したスクリプトを介して任意のコードを実行できる可能性があります。
攻撃ベクトル: スクリプティング "Data Objects" の Forms への入力のサニタイズ処理に脆弱性があり、ユーザーがWebページにアクセスしたときに実行されるJavaScriptコードを注入できる可能性があります。
パネルにログインしたら、ダッシュボードメニューの "System & Settings - Express - Data Objects" セクションに移動し、いずれかを選択します。
選択した Data object 内で、Forms オプションに移動します：
"Add Form" オプションをクリックします：
フォームの詳細で "Add Field Set" を選択します：
次に、+ オプションを選択してフォームフィールドにデータを追加します：
この脆弱性はさまざまなフィールドで発生します。例："Core Properties - Text"：
最後に、コンテンツを編集してペイロードを追加します：
<>
示されたペイロードを "Custom Label" フィールドに追加します：
次の画像では、メインのWebページでペイロードを実行する埋め込みコードを確認できます。
前述のとおり、この脆弱性は次のようなさまざまなフィールドでも発生します：
