sromanhu/pluck-cms-stored-xss---installation
pluck CMS 4.7.18 é afetado por uma vulnerabilidade de Múltiplos Cross-Site Scripting (XSS) Armazenado que permite que atacantes executem código arbitrário por meio de um payload malicioso nos parâmetros cont1 e cont2 durante o processo de instalação - Nome do Site que aparecerá em ambos os pop-ups na página principal.
Descrição: Múltiplas vulnerabilidades de Cross-Site Scripting (XSS) na instalação do PluckCMS v.4.7.18 permitem que um atacante local execute código arbitrário por meio de um payload malicioso injetado nos parâmetros cont1 e cont2 no processo de instalação - Nome do Site.
Vetores de Ataque: AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
Durante o processo de instalação, inserimos o payload XSS em qualquer um dos 2 parâmetros e, quando clicamos em avançar, obteremos o pop-up de XSS.
Na imagem a seguir, você pode ver o código incorporado que executa o payload no processo de instalação.
E abaixo está a evidência da execução do payload ao acessar o site principal:
