描述： CMSmadesimple v.2.2.18的install/adduser.php中存在多个跨站脚本（XSS）漏洞，允许本地攻击者通过在“我的首选项 - 添加用户”中的密码和再次输入密码字段中注入精心构造的脚本来执行任意代码。
攻击向量： 在“我的首选项 - 添加用户”的密码和再次输入密码字段的清理过程中存在脚本漏洞，允许注入JavaScript代码，当提交请求时该代码将被执行。
登录面板后，我们将进入“一般菜单”下的“我的首选项 - 添加用户”部分。
我们编辑“内容 - 新闻菜单”，添加我们创建的载荷，可以看到我们可以在密码和再次输入密码字段中注入任意JavaScript代码。
'"><svg/onload=alert('password')>
'"><svg/onload=alert('password again')>
下图显示了提交请求时执行载荷的嵌入代码。
