CVE-2022-35501

Magento 2용 Amasty Blog Pro의 블로그 게시물 생성 기능에 저장형 크로스사이트 스크립팅(XSS) 취약점

설명

Magento 2용 Amasty Blog Pro 2.10.3 및 2.10.4 플러그인의 게시물 생성 기능은 title 필드에 JavaScript 코드 삽입을 허용하여, 중복 게시물 기능을 통해 관리자 패널 사용자에 대한 XSS 공격을 유발합니다. 이 기능은 data.title 필드를 사용하여 JavaScript 코드를 실행합니다.

위에서 언급한 매개변수의 주입 지점인 취약한 엔드포인트:

• POST /admin/amasty_blog/posts/save/key/{some_key}/

영향을 받는 버전

< 2.10.5

권고 사항

Magento 2용 Amasty Blog Pro를 2.10.5 이상으로 업데이트하십시오.

참고 자료

• https://amasty.com/blog-pro-for-magento-2.html