CVE-2023-5024

• 漏洞标题：PLANNO 23.04.04 评论跨站脚本
• 漏洞作者：Angel Metz AKA PH03N1XSP
• 厂商主页：Planno
• 软件链接：GitHub - PlanningBiblio
• 版本：<= 23.04.04
• 测试环境：Linux
• CVE-2023-5024

已在 Planno 版本 <= 23.04.04 中发现一个漏洞，该漏洞被归类为问题性漏洞。此漏洞影响 Comment Handler 组件代码中未公开的部分，可能导致跨站脚本（XSS）攻击。该漏洞已被分配编号 CVE-2023-5024。重要的是，此类攻击可以远程发起，而且已知存在可利用该漏洞的漏洞利用程序。

描述：PLANNO 23.04.04 评论跨站脚本

第一种路径

1. 使用你的凭据登录。
2. 转到页面底部，点击"Ajouter un commentaire"。
3. 编写恶意脚本以触发反射型 XSS（"><script>alert(1);</script>）
4. 输入脚本后，即可触发反射型 XSS。

第二种路径

1. 使用你的凭据登录。
2. 转到右上角，点击"Enregistrer comme modele"。
3. 在"Nom du module"中，编写恶意脚本以触发反射型 XSS（"><script>alert(1);</script>），然后点击"Enregistrer"。
4. 输入脚本后，即可触发反射型 XSS。

你可以通过以下链接了解更多信息：

• CVE-2023-5024 - NVD
• CVE-2023-5024 - VulDB
• CVE-2023-5024 - INCIBE
• CVE-2023-5024 - CVE Report
• CVE-2023-5024 - Debricked
• CVE-2023-5024 - GitHub Advisories
• CVE-2023-5024 - MITRE CVE