CVE-2022-36433

Cross-site Scripting (XSS) na funcionalidade de criação de postagens de blog no Amasty Blog Pro para Magento 2

Descrição

A funcionalidade de criação de postagens de blog no plugin Amasty Blog Pro 2.10.3 para Magento 2 permite a injeção de código JavaScript nos campos short_content e full_content, levando a ataques XSS contra usuários do painel administrativo por meio de posts/preview ou posts/save.

Endpoints vulneráveis que são os pontos de injeção para os parâmetros mencionados acima:

• POST /admin/amasty_blog/posts/preview/key/{some_key}/?isAjax=true
• POST /admin/amasty_blog/posts/save/key/{some_key}/back/edit

Versões afetadas

< 2.10.5

Recomendação

Atualize o Amasty Blog Pro para Magento 2 para a versão 2.10.5 ou superior.

Referências

• https://amasty.com/blog-pro-for-magento-2.html