CVE-2022-35501

Хранимая межсайтовая XSS-уязвимость в функциональности создания записи блога в Amasty Blog Pro для Magento 2

Описание

Функциональность создания записи в плагине Amasty Blog Pro 2.10.3 и 2.10.4 для Magento 2 допускает внедрение JavaScript-кода в поле title, что приводит к XSS-атакам на пользователей панели администратора через функцию дублирования записи, которая использует поле data.title и выполняет JavaScript-код.

Уязвимая конечная точка, которая является точкой внедрения для указанного выше параметра:

• POST /admin/amasty_blog/posts/save/key/{some_key}/

Затронутые версии

< 2.10.5

Рекомендации

Обновите Amasty Blog Pro для Magento 2 до версии 2.10.5 или новее.

Ссылки

• https://amasty.com/blog-pro-for-magento-2.html