CVE-2025-29602 - Межсайтовый скриптинг (XSS) с сохранением в FlatPress CMS 1.3.1

Описание

Уязвимость межсайтового скриптинга (XSS) с сохранением существует в панели администратора Flatpress CMS 1.3.1. Злоумышленник с правами администратора может внедрить вредоносную JavaScript-нагрузку в систему, которая затем сохраняется постоянно.

При посещении обычным пользователем скомпрометированной страницы (например, записи блога) внедрённая нагрузка автоматически выполняется в браузере жертвы.

Подверженный продукт

• Flatpress
• Версия : 1.3.1
• Компонент : Редактирование категории

⚠️ Воздействие

• Кража куки-сеансов.
• Фишинговые атаки
• Удаленное выполнение кода (через JavaScript)
• Перенаправление пользователей на вредоносные сайты.

POC

 :9

Область кода

Flatpress github

Исправленная версия

FlatPress 1.4 "Notturno" link

Назначение CVE

• Идентификатор CVE: CVE-2025-29602