Stored XSS in Quick Post widget error message
Beschreibung
### Zusammenfassung Die Plattform filtert keine Eingaben und codiert die Ausgabe in der Quick Post-Validierungsfehlermeldung, die eine XSS-Nutzlast liefern kann. ### Details Old CVE hat den XSS im HTML-Label repariert, aber beim Klicken auf Speichern nicht behoben. ### PoC 1. Login bei admin 2. Gehen Sie zu Einstellung 3. Erstellen Sie einen Abschnitt 4. Klicken Sie auf der Eintragsseite auf Edit label 5. Injizieren Sie die XSS-Nutzlast in das Etikett und speichern Sie 6. Auf dem Admin-Dashboard wählen Sie neues Widget -> Quick Post 7. Klicken Sie in Quick Post auf Speichern mit leerem Slug; Der XSS wird ausgeführt "Fehler":{"title":["alert('nono') can be blank."],"slug":["Slug cannot be blank."] Fixed in https://github.com/craftcms/cms/commit/9d0cd0bda7c8a830a3373f8c0f06943e519ac888
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 4.4.6, 3.8.6.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Pixel & Tonic Craft CMS.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.