yuhuamiao/cve-2026-36358Доказательство концепции, демонстрирующее уязвимость хранимого XSS в Juzaweb CMS v5.0.0 через HTML-поле баннерной рекламы, что приводит к выполнению произвольного скрипта в панели администратора.
Сначала настройте платформу обычным образом и зарегистрируйте аккаунт. Здесь зарегистрированная мной учётная запись администратора — [email protected] / 123456.
После настройки платформы вы увидите главную страницу сайта.
Перейдите по адресу /admin и войдите в систему.
После входа вы попадёте в панель управления администратора.
Перейдите по маршруту /admin/banner-ads и нажмите «Add Banner», чтобы перейти на страницу создания объявления.
Измените Type на «HTML» и вставьте вредоносный XSS-код в поле Body.
Если вы столкнулись с такой ошибкой:
Вернитесь к типу «Image» и введите любой URL в поле URL.
После успешного добавления объявления вы увидите, что оно активно/работает.
Теперь вернитесь на главную страницу. Появится всплывающее окно alert, демонстрирующее уязвимость XSS.
