sromanhu/cve-2023-43358-cmsmadesimple-stored-xss---newsCMSmadesimple v.2.2.18의 사이트 간 스크립팅 취약점으로 인해 로컬 공격자가 Content - News Menu의 제목에 조작된 스크립트를 통해 임의 코드를 실행할 수 있습니다.
설명: CMSmadesimple v.2.2.18의 교차 사이트 스크립팅(XSS) 취약점으로 인해 로컬 공격자가 Content - News 메뉴의 제목(Title)에 조작된 스크립트를 통해 임의 코드를 실행할 수 있습니다.
공격 벡터: 'Content - News Menu'의 제목(Title) 항목 살균 처리 취약점으로 인해 사용자가 웹 페이지에 접속할 때 실행되는 JavaScript 코드를 삽입할 수 있습니다.
패널에 로그인하면 일반 메뉴에서 'Content- News' 섹션으로 이동합니다.
생성한 페이로드로 해당 Content - News 메뉴를 편집하면 제목(Title) 필드에 임의의 JavaScript 코드를 삽입할 수 있음을 확인할 수 있습니다.
'"><svg/onload=prompt('Title')>
다음 이미지에서 메인 웹에서 페이로드를 실행하는 삽입된 코드를 볼 수 있습니다.
