描述： ZenarioCMS v.9.4.59197 中存在跨站脚本漏洞，允许本地攻击者通过向“备用别名”(Spare aliases) 中的别名(Alias)注入恶意脚本来执行任意代码。
攻击向量： “备用别名”(Spare aliases) 输入项处理中的漏洞，使得注入的 JavaScript 代码在用户访问网页时会被执行。
登录面板后，我们进入管理菜单中的“菜单节点属性 - 选择内容项”。
选择一个别名，然后点击“编辑内容项”：
现在进入“编辑别名”：
我们在“备用别名”字段中添加 Payload，就会触发反射型 XSS 弹窗。
<>
我们也可以从管理面板的“编辑布局”(Edit Layout) 进入别名面板。
然后添加 Payload：
