CVE-2023-41425

As versões 3.2.0 até 3.4.2 do WonderCMS carregam uma falha de cross-site scripting no componente installModule: um script forjado roteado por esse componente executa no navegador de uma vítima no contexto do site. Entregue contra um administrador autenticado, XSS em uma superfície de administração é o caso perigoso — pode aproveitar a sessão do administrador para realizar ações privilegiadas, e em um CMS isso muitas vezes significa um caminho rumo a controle mais amplo do site.

O fator atenuante é que isso precisa que a vítima interaja, e a mudança de escopo reflete o cruzamento para o contexto de confiança do navegador, então não é um exploit de servidor do tipo dispare-e-esqueça. O cenário realista é um atacante atraindo ou induzindo um administrador a disparar o payload. É uma ameaça real, porém condicional, não a exploração em massa indiscriminada que se vê com bugs não autenticados do lado do servidor.

Mantemos isso em sua classificação média e o tratamos como candidato a encadeamento, e não como uma crise isolada: XSS em contexto de administração é mais perigoso como o primeiro elo rumo a sequestro de sessão ou alteração de configuração. Nossos passos práticos são identificar instâncias do WonderCMS na faixa vulnerável e aplicar controles do lado do navegador e de detecção em torno do painel de administração, enquanto priorizamos os RCEs não autenticados deste mesmo lote acima dele.