flusity CMS posts.php loadPostAddForm cross site scripting

Un atacante podría explotar esta vulnerabilidad para inyectar scripts maliciosos en las páginas web de flusity CMS. Esto podría permitir al atacante robar cookies de sesión, redirigir a los usuarios a sitios web maliciosos, o incluso ejecutar código arbitrario en el navegador del usuario. La ejecución remota de código facilita la explotación, ampliando el alcance del ataque. La falta de información de versiones afectadas implica que todas las instalaciones de flusity CMS podrían ser susceptibles, especialmente aquellas que no apliquen las actualizaciones de forma regular.

Organizations using flusity CMS, particularly those relying on its continuous delivery model without rigorous verification of applied patches, are at risk. Shared hosting environments where multiple users share the same flusity CMS instance are also particularly vulnerable, as an attacker could potentially compromise one user's account and gain access to others.

• php / web:

 grep -r "menu_id" /var/www/flusity/core/tools/posts.php

• generic web:

 curl -I https://your-flusity-site.com/core/tools/posts.php?menu_id=<script>alert(1)</script>

1. 2023-10-27Disclosure

   disclosure

1. Reservado2023-10-26
2. Publicada2023-10-27
3. Modificada2024-08-02
4. EPSS actualizado2026-04-02

Dado que flusity CMS utiliza un modelo de entrega continua, la solución principal es aplicar el parche proporcionado: 6943991c62ed87c7a57989a0cb7077316127def8. Si la aplicación del parche causa problemas de compatibilidad, se recomienda contactar con el soporte de flusity CMS para obtener asistencia. Como medida temporal, se podría implementar un Web Application Firewall (WAF) para filtrar las solicitudes que contengan payloads maliciosos en el parámetro menuid. Verifique después de aplicar el parche que la vulnerabilidad ha sido corregida revisando el archivo core/tools/posts.php y asegurándose de que la entrada menuid se sanee correctamente.