sromanhu/cve-2023-43346-quick-cms-stored-xss---languages-backendQuick CMS 6.7은 Backend- Dashboard의 Languages Menu에 조작된 페이로드를 통해 공격자가 임의 코드를 실행할 수 있게 하는 XSS(Cross-Site Scripting) 취약점의 영향을 받습니다.
설명: Quick CMS v6.7의 교차 사이트 스크립팅(XSS) 취약점으로 인해 로컬 공격자가 Languages Menu의 Backend - Dashboard로 전송되는 조작된 스크립트를 통해 임의 코드를 실행할 수 있습니다.
공격 벡터: 스크립팅. "Languages - Backend"의 백엔드 항목에 대한 검증 취약점으로 인해 사용자가 웹 페이지에 접속할 때 실행되는 JavaScript 코드를 주입할 수 있습니다.
패널에 로그인한 후 일반 메뉴의 "Languages - Backend" 섹션으로 이동합니다.
해당 백엔드 설정을 편집하면 Dashboard 필드에 임의의 Javascript 코드를 주입할 수 있음을 알 수 있습니다.
'"><svg/onload=alert('Dashboard')>
다음 이미지에서 메인 웹에서 페이로드를 실행하는 삽입된 코드를 확인할 수 있습니다.
