CVE-2024-48652

Уязвимость межсайтового скриптинга (XSS) в camaleon-cms v.2.7.5 позволяет удаленному злоумышленнику выполнять произвольный код через поле названия группы контента

Шаги для воспроизведения:

1.Откройте URL: http://127.0.0.1/admin/dashboard

2.Войдите, используя учетные данные администратора.

3.Перейдите в раздел «Настройки».

4.Нажмите на «Группы контента».

5.Выберите опцию «Изменить» для группы контента.

6.В поле «Название» введите следующий XSS-пейлоад:

">

7.Сохраните изменения. 8.Обновите страницу или перейдите в другой раздел. 9.XSS-пейлоад сработает, и появится всплывающее окно alert с «1».

Тип уязвимости :Межсайтовый скриптинг (XSS)

Производитель продукта:Camaleon-Cms

Затронутая кодовая база продукта : camaleon-cms - 2.7.5

Затронутый компонент :Настройки Camaleon CMS - Поле названия группы контента

Тип атаки:Удаленная

Векторы атаки: Вектор атаки предполагает, что вошедший в систему администратор изменяет поле названия «Группа контента», добавляя вредоносный скрипт. Этот скрипт выполняется в контексте других пользователей, просматривающих затронутый контент, что может привести к краже данных или перехвату сеанса.

Ссылки:

https://github.com/owen2345/camaleon-cms/blob/master/CHANGELOG.md

https://owasp.org/www-community/attacks/xss/

https://drive.google.com/drive/folders/1MdN4Nv0WKvD3oFANVsmBvWJtZslbYPAN?usp=sharing