CVE-2024-41312.

InstantCMS - Межсайтовый скриптинг (XSS) с сохранением Затронутая версия: InstantCMS 2.16.3

Шаги для воспроизведения:

1. Войдите в https://demo.instantcms.io как демо-пользователь.
2. Перейдите на https://demo.instantcms.io/photos/upload.
3. Загрузите изображение с внедренным полезным тестом <img src="https://raw.githubusercontent.com/amal264882/cve-2024-41312./HEAD/asd" onerror="alert(1)"> в поле метаданных "Название модели камеры".
4. Перейдите на https://demo.instantcms.io/photos/camera-{payload}
5. Пример: https://demo.instantcms.io/photos/camera-Amal_Test%3Cimg+src=%22asd%22+onerror=%22alert(1)%22%3E
6. Вы увидите немедленное выполнение XSS-нагрузки.

POC:

<a href=https://d.pr/v/DT8Gve> Видео POV