CVE-2025-29602 - FlatPress CMS 1.3.1 中的存储型跨站脚本(XSS)漏洞

描述

Flatpress CMS 1.3.1 的管理面板中存在一个存储型跨站脚本(XSS)漏洞。具有管理员权限的攻击者可以向系统中注入恶意JavaScript载荷，该载荷会被持久存储。当普通用户访问被篡改的页面（如博客文章）时，注入的载荷会在受害者的浏览器中自动执行。

受影响的产品

• Flatpress
• 版本: 1.3.1
• 组件: 编辑分类

⚠️ 影响

• 窃取会话Cookie
• 钓鱼攻击
• 远程代码执行（通过JavaScript）
• 将用户重定向到恶意网站

POC

 :9

代码区域

Flatpress GitHub

修复版本

FlatPress 1.4 "Notturno" 链接

CVE 分配

• CVE 编号: CVE-2025-29602