paragbagul111/cve-2024-25411Flatpress v1.3의 교차 사이트 스크립팅(XSS) 취약점은 공격자가 setup.php의 username 매개변수에 삽입된 조작된 페이로드를 통해 임의의 웹 스크립트나 HTML을 실행할 수 있도록 합니다.
Flatpress v1.3의 교차 사이트 스크립팅(XSS) 취약점으로, 공격자가 setup.php의 username 매개변수에 조작된 페이로드를 삽입하여 임의의 웹 스크립트 또는 HTML을 실행할 수 있습니다.
취약점 유형 : 교차 사이트 스크립팅 (XSS)
제품 공급업체 : https://github.com/flatpressblog/flatpress
영향받는 제품 코드 베이스: 영향받는 버전 : FlatPress 1.2.1 최신 - FlatPress 버전 1.3에서 수정될 예정입니다.
영향받는 구성 요소: FlatPress 설치 프로그램의 username 매개변수에서의 교차 사이트 스크립팅 (XSS)
공격 유형: 원격
참고:
https://portswigger.net/web-security/cross-site-scripting
https://github.com/flatpressblog/flatpress/pull/261
발견자: Parag Bagul
재현 단계:
1.신뢰할 수 있는 소스에서 FlatPress CMS를 다운로드합니다.
2.다음 명령어를 사용하여 로컬 PHP 서버를 시작합니다: php -S 127.0.0.1:80
3.브라우저에서 다음 URL을 엽니다: https://127.0.0.1/setup.php
4."username" 필드에 다음 페이로드를 입력합니다:
tes">
'''
5."Next" 버튼을 클릭합니다.
6.화면에 숫자 "1"이 포함된 팝업이 나타나며, 페이로드가 성공적으로 실행되었음을 나타냅니다.