CVE-2024-33299

Microweber <= 2.0.9의 저장형 교차 사이트 스크립팅(Stored Cross Site Scripting) 취약점

요약 :

Microweber v.2.0.9의 저장형 교차 사이트 스크립팅(Stored Cross Site Scripting) 취약점으로 인해 원격 공격자가 /admin/module/view?type=users 엔드포인트의 이름(First Name) 및 성(Last Name) 매개변수를 통해 임의 코드를 실행할 수 있습니다.

요구 사항 :

• Microweber 버전 <= 2.0.9
• 관리자 접근 권한

재현 단계 :

1. 관리자 권한으로 애플리케이션에 인증합니다.
2. /admin/users 엔드포인트로 이동합니다.
3. 편집할 사용자를 선택합니다(또는 새 사용자를 생성한 후 편집합니다).
4. "이름(First Name)" 또는 "성(Last Name)" 필드에 페이로드 ``를 삽입합니다. 두 필드 모두 JavaScript 주입을 트리거할 수 있습니다.
5. /admin/module/view?type=users 엔드포인트로 이동하여 JavaScript 주입을 트리거합니다.

영향을 받는 구성 요소 :

• /admin/module/view?type=users

영향 :

공격자는 피해자의 브라우저에서 JavaScript 코드를 실행하여 정보를 획득하거나, 예를 들어 사용자가 악성 웹사이트에 접속하도록 강제할 수 있습니다.

관련 참고 자료