CVE-2021-20717-EC-CUBE-XSS

Descrição do NVD

Vulnerabilidade de cross-site scripting no EC-CUBE 4.0.0 a 4.0.5 permite que um atacante remoto injete um script especialmente criado no campo de entrada específico do site EC criado com o EC-CUBE. Como resultado, pode levar à execução arbitrária de script no navegador do administrador.

Configuração

1. Clone o EC Cube

git clone https://github.com/EC-CUBE/ec-cube.git -b 4.0.5

2. Docker Build

docker build -t eccube4-php-apache .

3. Docker Run

docker run --name ec-cube -p "8080:80" -p "4430:443" eccube4-php-apache

Reproduzir

Usuário

http://localhost:8080

1. Adicionar ao carrinho e prosseguir para o checkout

2. Injetar script no formulário de consulta

3. Finalizar compra

Administrador

http://localhost:8080/admin/login

1. Login admin:password

2. Abrir a página de lista de pedidos

3. Clicar no pedido (malicioso)

4. Clicar no botão Criar e-mail

5. Selecionar modelo

6. Clicar no botão Confirmar e-mail

Commit de correção

https://github.com/EC-CUBE/ec-cube/commit/9bae20f070acfe0b84451bc1e082c699ac197faf