CVE-2024-25412

Flatpress v1.3의 크로스 사이트 스크립팅(XSS) 취약점으로, 공격자가 이메일 필드에 삽입된 조작된 페이로드를 통해 임의의 웹 스크립트나 HTML을 실행할 수 있습니다.

취약점 유형:

Cross Site Scripting (XSS)

제품 공급업체:

https://github.com/flatpressblog/flatpress

영향을 받는 제품 코드 베이스

영향을 받는 버전: FlatPress 1.2.1 최신 - FlatPress 버전 1.3에서 수정될 예정입니다.

영향을 받는 구성 요소:

FlatPress 설치 프로그램의 크로스 사이트 스크립팅(XSS) (이메일 매개변수)

공격 유형:

원격

발견자:

Parag Bagul

참고:

https://portswigger.net/web-security/cross-site-scripting

https://drive.google.com/file/d/1GBL-iY5ZRaxRqLVqpBe1w6dVgEfywAG7/view?usp=sharing

재현 단계:

1. 신뢰할 수 있는 소스에서 FlatPress CMS를 다운로드합니다. (https://github.com/flatpressblog/flatpress)

2. 다음 명령을 사용하여 로컬 PHP 서버를 실행합니다: php -S 127.0.0.1:80

3. 브라우저에서 다음 URL을 엽니다: https://127.0.0.1/setup.php

4. "email" 필드에 다음 페이로드를 삽입합니다. 숫자 **"1"**을 표시하는 팝업이 화면에 나타나 페이로드가 성공적으로 실행되었음을 확인합니다. 그런 다음 "Next" 버튼을 클릭하여 진행합니다.

"> or "><script>alert(1)</script>
'''