CVE-2021-20717-EC-CUBE-XSS

NVD 描述

EC-CUBE 4.0.0 至 4.0.5 版本中存在跨站脚本漏洞，远程攻击者可在使用 EC-CUBE 创建的 EC 网站的特定输入字段中注入特制脚本，进而可能导致在管理员的 Web 浏览器上执行任意脚本。

环境搭建

1. 克隆 EC Cube

git clone https://github.com/EC-CUBE/ec-cube.git -b 4.0.5

2. Docker 构建

docker build -t eccube4-php-apache .

3. Docker 运行

docker run --name ec-cube -p "8080:80" -p "4430:443" eccube4-php-apache

复现步骤

用户端

http://localhost:8080

1. 加入购物车并进入结账流程

2. 在咨询表单中注入脚本

3. 完成购买

管理员端

http://localhost:8080/admin/login

1. 使用 admin:password 登录

2. 打开订单列表页面

3. 点击（恶意）订单

4. 点击创建邮件按钮

5. 选择模板

6. 点击确认邮件按钮

修复提交

https://github.com/EC-CUBE/ec-cube/commit/9bae20f070acfe0b84451bc1e082c699ac197faf