CVE-2024-50677 | OroPlatform CMS v5.1의 두 번 클릭 반사형 XSS

이 저장소는 CVE-2024-50677의 개념 증명을 제공합니다.

면책 조항:

이 코드는 취약점의 개념 증명입니다. 저는 이 익스플로잇의 사용에 대해 책임을 지지 않습니다.

CVE-2024-50677은 OroPlatform CMS v5.1의 기본 구성, 특히 여기 데모 플랫폼(https://github.com/oroinc/docker-demo)에 존재하는 두 번 클릭 반사형 XSS를 나타냅니다.

취약점은 애플리케이션이 검색 기능에 대한 사용자 입력을 제어하는 방식에 있습니다. 사용자가 웹페이지 UI의 검색 창에 자바스크립트를 쿼리로 포함한 예를 들어 다음과 같은 링크를 클릭하면

<script>alert(1)</script>

그러면 애플리케이션이 이 자바스크립트를 자유롭게 로드하고 실행합니다.

이 CVE는 @ZumiYumi가 발견했습니다.

http://vulnerable-website/product/search?search=%3Cscript%3Ealert(1)%3C%2Fscript