CVE-2021-20717-EC-CUBE-XSS

Описание NVD

Уязвимость межсайтового скриптинга (XSS) в EC-CUBE с 4.0.0 по 4.0.5 позволяет удаленному злоумышленнику внедрить специально созданный скрипт в определенное поле ввода сайта электронной коммерции, созданного с помощью EC-CUBE. В результате это может привести к выполнению произвольного скрипта в веб-браузере администратора.

Установка

1. Клонируйте EC Cube

git clone https://github.com/EC-CUBE/ec-cube.git -b 4.0.5

2. Соберите Docker-образ

docker build -t eccube4-php-apache .

3. Запустите Docker-контейнер

docker run --name ec-cube -p "8080:80" -p "4430:443" eccube4-php-apache

Воспроизведение

Пользователь

http://localhost:8080

1. Добавьте товар в корзину и перейдите к оформлению заказа

2. Внедрите скрипт в форму обращения

3. Завершите покупку

Администратор

http://localhost:8080/admin/login

1. Войдите, используя admin:password

2. Откройте страницу списка заказов

3. Нажмите на (вредоносный) заказ

4. Нажмите кнопку «Создать письмо»

5. Выберите шаблон

6. Нажмите кнопку «Подтвердить письмо»

Исправляющий коммит

https://github.com/EC-CUBE/ec-cube/commit/9bae20f070acfe0b84451bc1e082c699ac197faf