关键漏洞信息 漏洞类型: 反射型跨站脚本（XSS）攻击 受影响的软件: - 名称: Concrete5 CMS - 版本: 5.7.2 和 5.7.2.1（可能更早的版本受影响） 漏洞细节: - 受影响的脚本: single_pages/dashboard/users/groups/bulkupdate.php 和 tools/dashboard/sitemap_drag_request.php - 问题描述: 这两个脚本未能正确清理用户提供的输入，从而导致漏洞。 PoC 攻击方法: - 使用 HTTP GET 方法： - 使用 HTTP POST 方法： 尚未利用的漏洞: - sitemap_drag_request.php 的漏洞需要有效的 ccm_token 值才能被利用，这使得攻击者难以在没有获取有效令牌的情况下进行攻击。 修复建议: - 在 和 中对用户提供的输入进行验证和清理。 披露时间表: - 2014年11月2日: 发现漏洞。 - 2014年11月3日: 发送初次报告。 - 2014年11月11日: 进行二次联系，但未有回应。 - 2014年12月9日: 公开披露。