CVE-2022-35501

Amasty Blog Pro for Magento 2 中博客文章创建功能存在存储型跨站脚本（XSS）漏洞

描述

Amasty Blog Pro 2.10.3 和 2.10.4 插件（适用于 Magento 2）的文章创建功能允许在 title 字段中注入 JavaScript 代码，通过复制文章功能导致针对管理面板用户的 XSS 攻击，该功能使用了 data.title 字段并执行了 JavaScript 代码。

受影响端点（上述参数的注入点）：

• POST /admin/amasty_blog/posts/save/key/{some_key}/

受影响版本

< 2.10.5

建议

将 Amasty Blog Pro for Magento 2 更新至 2.10.5 或更高版本。

参考

• https://amasty.com/blog-pro-for-magento-2.html