CVE-2024-33299

Vulnerabilidade de Cross Site Scripting Armazenado no Microweber <= 2.0.9

Resumo :

Uma vulnerabilidade de Cross Site Scripting Armazenado no Microweber v.2.0.9 permite que um atacante remoto execute código arbitrário por meio dos parâmetros Nome e Sobrenome no endpoint /admin/module/view?type=users

Requisitos :

• Microweber versão <= 2.0.9
• Acesso de administrador

Passos para reproduzir :

1. Autentique a aplicação com privilégios administrativos
2. Acesse o endpoint /admin/users
3. Selecione qualquer usuário para editar (ou crie um e depois edite)
4. Insira o payload `` em "Nome" ou "Sobrenome", pois ambos os campos podem acionar a injeção de JavaScript
5. Acesse o endpoint /admin/module/view?type=users para acionar a injeção de JavaScript

Componentes afetados :

• /admin/module/view?type=users

Impacto :

Um atacante poderia executar código JavaScript no navegador da vítima, obtendo informações ou forçando o usuário a acessar sites maliciosos, por exemplo.