FlatPress CMS XSS Armazenado na v1.3.1

CVE-2025-25460
Autor: Athul S

Descrição

Uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado foi identificada no FlatPress 1.3.1 no recurso "Adicionar Entrada". Essa vulnerabilidade permite que atacantes autenticados injetem payloads JavaScript maliciosos em postagens do blog, que são executados quando outros usuários visualizam as postagens. O problema surge devido à higienização inadequada de entrada do campo "TextArea" no formulário de envio de entrada do blog.

Vetores de Ataque

• Um atacante autenticado pode injetar um payload JavaScript malicioso na entrada da postagem do blog.
• O payload é executado quando um admin ou outro usuário visita a entrada do blog afetada.
• Isso pode levar a sequestro de sessão, phishing ou outros ataques no lado do cliente.

Prova de Conceito (PoC)

Passos para Reproduzir:

1. Faça login como Admin no FlatPress v1.3.1.

2. Navegue até a seção "Adicionar Entrada".