CVE-2024-33297

Vulnerabilidade de Cross Site Scripting Armazenado no Microweber <= 2.0.9

Resumo :

Uma vulnerabilidade de Cross Site Scripting Armazenado no Microweber v.2.0.9 permite que um atacante remoto execute código arbitrário através do campo Nome da campanha (Nome Interno) na função "Adicionar nova campanha".

Requisitos :

• Microweber versão <= 2.0.9
• Acesso de administrador

Passos para reproduzir :

1. Autentique a aplicação com privilégios administrativos
2. Acesse o endpoint /admin/modules/newsletter/lists e clique em "+ Adicionar nova lista"
3. Insira o payload `` no campo "Nome da lista"
4. Clique em "Salvar" para acionar a injeção de JavaScript. A injeção será acionada ao listar as campanhas atuais e também na aba de criação de um novo assinante.

Componentes afetados :

• /admin/modules/newsletter

Impacto :

Um atacante poderia executar código JavaScript no navegador da vítima, obtendo informações ou forçando o usuário a acessar sites maliciosos, por exemplo.