sromanhu/cve-2023-43345-quick-cms-stored-xss---pages-contentQuick CMS 6.7은 공격자가 Pages Menu의 Content-Name에 조작된 페이로드를 통해 임의 코드를 실행할 수 있는 크로스 사이트 스크립팅(XSS) 취약점의 영향을 받습니다.
설명: Quick CMS v6.7의 크로스 사이트 스크립팅(XSS) 취약점으로 인해 로컬 공격자가 페이지 메뉴의 콘텐츠 - 이름에 조작된 스크립트를 통해 임의 코드를 실행할 수 있습니다.
공격 벡터: 페이지 메뉴의 콘텐츠 이름 입력 값 정화 과정에서의 취약점으로 인해 사용자가 웹 페이지에 접속할 때 실행되는 JavaScript 코드를 삽입할 수 있습니다.
패널에 로그인하면 페이지의 "콘텐츠 - 이름" 섹션으로 이동합니다.
해당 콘텐츠 설정을 편집하면 이름(Name) 필드에 임의의 JavaScript 코드를 삽입할 수 있습니다.
<svg/onload=alert(document.domain)>
다음 이미지에서는 메인 웹 페이지에서 페이로드를 실행하는 삽입된 코드를 확인할 수 있습니다.
