CVE-2024-33297

Microweber <= 2.0.9에서 발생하는 저장형 교차 사이트 스크립팅(Stored Cross Site Scripting) 취약점

요약 :

Microweber v.2.0.9의 저장형 교차 사이트 스크립팅(Stored Cross Site Scripting) 취약점으로 인해 원격 공격자가 "새 캠페인 추가" 기능의 캠페인 이름(내부 이름) 필드를 통해 임의 코드를 실행할 수 있습니다.

요구 사항 :

• Microweber 버전 <= 2.0.9
• 관리자 접근 권한

재현 단계 :

1. 관리자 권한으로 애플리케이션에 인증합니다.
2. 엔드포인트 /admin/modules/newsletter/lists로 이동하여 **"+ 새 목록 추가"**를 클릭합니다.
3. "목록 이름" 필드에 페이로드 ``를 삽입합니다.
4. **"저장"**을 클릭하여 JavaScript 주입을 트리거합니다. 이 주입은 현재 캠페인 목록을 표시할 때와 새 구독자 생성 탭에서도 트리거됩니다.

영향을 받는 구성 요소 :

• /admin/modules/newsletter

영향 :

공격자는 피해자의 브라우저에서 JavaScript 코드를 실행하여 정보를 획득하거나 사용자가 악성 웹사이트에 접속하도록 강제할 수 있습니다.

관련 참고 자료

https://www.cve.org/CVERecord?id=CVE-2024-33297