FlatPress CMS: Межсайтовый скриптинг (XSS) в v1.3.1

CVE-2025-25460
Автор: Athul S

Описание

Уязвимость сохранённого межсайтового скриптинга (XSS) была обнаружена в FlatPress 1.3.1 в функции «Add Entry». Эта уязвимость позволяет аутентифицированным атакующим внедрять вредоносные JavaScript-полезные нагрузки в записи блога, которые выполняются при просмотре записей другими пользователями. Проблема возникает из-за некорректной очистки входных данных поля «TextArea» в форме отправки записи блога.

Векторы атаки

• Аутентифицированный атакующий может внедрить вредоносную JavaScript-полезную нагрузку в запись блога.
• Полезная нагрузка выполняется, когда администратор или другой пользователь посещает затронутую запись блога.
• Это может привести к угону сессии, фишингу или другим атакам на стороне клиента.

Подтверждение концепции (PoC)

Шаги для воспроизведения:

1. Войдите как администратор в FlatPress v1.3.1.

2. Перейдите в раздел .