Evolution CMS，Fudforum和Gitbucket脆弱性链接起来，以最大程度的影响
研究人员已发布有关三人的详细信息跨站脚本（XSS）流行的开源应用程序中可能导致远程代码执行（RCE）的漏洞。
在Web开发应用程序Evolution CMS，Fudforum和Gitbucket中发现了由PT Swarm的研究团队发现的安全错误。beplay体育能用吗
传统XSS攻击允许在受害者用户的浏览器中执行攻击者的JavaScript代码，打开cookie盗窃的大门，重定向到网络钓鱼站点等等。
beplay体育能用吗网络安全研究员Aleksey Solovev告诉每日swbeplay2018官网ig这项研究详细介绍了PT Swarm的博客，与“进行XSS攻击的发现的可能性以及管理员面板中的内置文件管理器（或执行SQL查询）的组合可以导致系统的完整妥协”。
三重威胁
Evolution CMS v3.1.8中的第一个漏洞可以使攻击者执行反映XSS在管理面板中的多个地方攻击。
“攻击者可以试图迫使系统管理员通过社会工程遵循恶意链接，这将导致在攻击者的浏览器中执行恶意Javascript代码，” Solovev告诉每日swbeplay2018官网ig。
“结果将是通过使用内置文件管理器覆盖可执行文件的完整妥协。”
在Fudforum v3.1.1中发现的第二个缺陷可能会允许恶意演员执行存储的XSS在私人消息中以附件的名义攻击。
Solovev说：“攻击者可以以随附文件的名义向管理员发送私人消息。”
“当管理员读取此消息时，他的浏览器将执行JavaScript代码，并使用内置文件管理器，将创建可执行文件，以允许攻击者在服务器上执行命令。”
最终，在Gitbucket v4.37.1中，发现了一个安全错误，该错误可以使攻击者能够在“多个地方”中进行存储的XSS攻击。
攻击者必须在公共存储库中创建问题，并将JavaScript代码注入分配的名称。
此事件将显示在一般供稿和攻击者的个人资料中。正是在这些地方，存在带有恶意负载的任务名称的不安全显示，这导致在所有查看这些页面的人的浏览器中执行JavaScript代码。
“在管理面板中，有可能执行SQL代码基于H2数据库引擎，已经有一个漏洞利用使您可以在服务器上执行命令。” Solovev解释说。
“将所有内容整合在一起，攻击者可以攻击管理员并获得在服务器上执行命令的能力。”
释放的补丁
Solovev告诉每日swbeplay2018官网ig。
研究人员补充说，发现这些缺陷的主要困难是发现进行XSS攻击的可能性。
他解释说：“其余步骤更容易，因为他们以管理面板中的文件经理的形式对合法功能进行公共利用。”
有关利用的漏洞和技术细节的更多信息，请参见PT Swarm的博客。
