关键漏洞信息 漏洞标题: CMS Made Simple Version: 2.2.21 - Stored XSS 日期: 2025-05-11 漏洞作者: feixuezhi 厂商主页: https://www.cmsmadesimple.org/ 版本: 2.2.21 测试环境: https://softaculous.com/demos/cms_made_simple 描述 CMS Made Simple 版本 2.2.21 存在跨站脚本（XSS）漏洞。该漏洞存在于管理面板的 Design Manager 模块中，具体原因是“Templates Description”字段对用户输入的不充分清理。 复现步骤 1. 以管理员身份登录并导航到 Layout > Design Manager > Templates。 2. 点击 Content -> Content Manager Module。 3. 点击“Create a new Template”。 4. 在“Name”字段中输入模板名称。 5. 点击“Description”。 6. 在“Description”字段中输入以下payload: 7. 点击“Submit”。 8. 提交后，每次点击“View this page in another window”时，payload 将被执行。 注意事项 此漏洞确认了存在 XSS 漏洞。 使用 payload 来评估表达式并验证 XSS。 负责任地使用此漏洞，并确保有适当的授权；未经授权使用可能导致法律后果。