sromanhu/pluck-cms-stored-xss---installationpluck CMS 4.7.18は、インストールプロセス中のcont1およびcont2パラメータに細工されたペイロードを介して攻撃者が任意のコードを実行できるようにする、複数の格納型クロスサイトスクリプティング（XSS）の脆弱性の影響を受けます。これは、メインページの両方のポップアップに表示されるウェブサイト名です。
説明: PluckCMS v.4.7.18 のインストールにおける複数のクロスサイトスクリプティング (XSS) 脆弱性により、ローカル攻撃者が、インストールプロセス - ウェブサイト名において cont1 および cont2 パラメータに注入された細工されたペイロードを介して、任意のコードを実行できる可能性があります。
攻撃ベクトル: AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
インストールプロセス中に、2つのパラメータのいずれかにXSSペイロードを入力すると、次へをクリックした際にXSSポップアップが表示されます。
次の画像は、インストールプロセスでペイロードを実行する埋め込みコードを示しています。
以下は、メインウェブサイトにアクセスした際のペイロード実行の証拠です。
