描述： CMSmadesimple v.2.2.18 中存在跨站脚本漏洞，本地攻击者可通过文件选择器菜单中的顶部目录字段注入恶意脚本，从而执行任意代码。
攻击向量： 脚本注入漏洞。文件选择器菜单中“顶部目录”字段的输入过滤不严，允许注入JavaScript代码，当用户访问网页时该代码将被执行。
登录后台后，我们进入常规菜单下的“文件选择器扩展 - 顶部目录”部分。
编辑我们已创建的顶部目录菜单，可以看到可以在全局元数据字段中注入任意JavaScript代码。
""><svg/onload=alert('FilePicker')>
下图展示了嵌入的代码在主网页上执行payload的效果。
