CVE-2022-36433

Amasty Blog Pro for Magento 2 中博客文章创建功能的跨站脚本（XSS）

描述

Amasty Blog Pro 2.10.3 插件（适用于 Magento 2）的博客文章创建功能允许在 short_content 和 full_content 字段中注入 JavaScript 代码，导致管理面板用户通过 posts/preview 或 posts/save 受到 XSS 攻击。

以下是上述参数的易受攻击端点（注入点）：

• POST /admin/amasty_blog/posts/preview/key/{some_key}/?isAjax=true
• POST /admin/amasty_blog/posts/save/key/{some_key}/back/edit

受影响版本

< 2.10.5

建议

将 Amasty Blog Pro for Magento 2 更新至 2.10.5 或更高版本。

参考

• https://amasty.com/blog-pro-for-magento-2.html