CVE-2022-36433

Межсайтовый скриптинг (XSS) в функционале создания записей блога в Amasty Blog Pro для Magento 2

Описание

Функционал создания записей блога в плагине Amasty Blog Pro 2.10.3 для Magento 2 позволяет внедрение JavaScript-кода в поля short_content и full_content, что приводит к XSS-атакам против пользователей панели администратора через posts/preview или posts/save.

Уязвимые конечные точки, которые являются точками внедрения для указанных выше параметров:

• POST /admin/amasty_blog/posts/preview/key/{some_key}/?isAjax=true
• POST /admin/amasty_blog/posts/save/key/{some_key}/back/edit

Затронутые версии

< 2.10.5

Рекомендации

Обновите Amasty Blog Pro для Magento 2 до версии 2.10.5 или новее.

Ссылки

• https://amasty.com/blog-pro-for-magento-2.html