CVE-2022-36433

Amasty Blog Pro for Magento 2의 블로그 게시물 작성 기능에서의 크로스 사이트 스크립팅(XSS)

설명

Magento 2용 Amasty Blog Pro 2.10.3 플러그인의 블로그 게시물 작성 기능은 short_content 및 full_content 필드에 JavaScript 코드를 주입할 수 있게 하여, posts/preview 또는 posts/save를 통해 관리자 패널 사용자를 대상으로 한 XSS 공격을 유발합니다.

앞서 언급한 매개변수의 주입 지점이 되는 취약한 엔드포인트:

• POST /admin/amasty_blog/posts/preview/key/{some_key}/?isAjax=true
• POST /admin/amasty_blog/posts/save/key/{some_key}/back/edit

영향을 받는 버전

< 2.10.5

권고 사항

Amasty Blog Pro for Magento 2를 2.10.5 이상 버전으로 업데이트하세요.

참고 자료

• https://amasty.com/blog-pro-for-magento-2.html