CVE-2022-43332

Межсайтовый скриптинг в WonderCMS

Описание: Уязвимость межсайтового скриптинга (XSS) в Wondercms v3.3.4 позволяет потенциальным злоумышленникам выполнять произвольные веб-сценарии или HTML через вредоносную полезную нагрузку, внедрённую в поле "Название сайта" панели конфигурации — в сочетании с тем фактом, что cookie не имеет флага HttpOnly, это может быть использовано для кражи cookie вошедших в систему пользователей.

Как воспроизвести: Для воспроизведения можно скачать zip-файл, предоставленный на wondercms.com (3.3.4), распаковать его на веб-сервер и после входа в систему с паролем, указанным на главной странице, в меню настроек можно изменить заголовок — уязвимость может быть активирована с помощью следующей полезной нагрузки: