CVE-2020-13889

작성자: Andre k Lorenci 연락처: [email protected]

CVE-2020-13889

안녕하세요. 이 취약점은 bludit의 관리자 패널에 있는 showAlert() 함수에 존재합니다. 이 함수는 DOM에서 접근할 때 사용자가 메시지 상자에 표시할 텍스트를 정의할 수 있게 합니다. 하지만 이 함수에는 아무런 검증(sanitization) 처리도 없기 때문에 사용자는 페이지에 임의의 자바스크립트 코드나 HTML을 주입할 수 있습니다.

이 함수의 반환을 시연하기 위해 웹 개발 툴킷을 사용하여 XSS 코드를 해당 함수의 인자로 전달했습니다.

사용된 페이로드는 다음과 같습니다: showAlert("");

제가 테스트한 버전은 Bludit 3.x입니다.

감사합니다.

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-13889