关键漏洞信息 漏洞概览 漏洞发现: BootCommerce v3.2.1 - Multiple Persistent Vulnerabilities 漏洞类型: Cross-Site Scripting (XSS) - Persistent CVE评分: 5.1 漏洞细节 受影响产品: BootCommerce v3.2.1 (CMS) (Web-Application) 漏洞披露时间线: - 2021-08-20: 研究员通知与协调 - 2021-08-21: 供应商通知 - 2021-08-00: 供应商响应/反馈 - 2021--: 供应商修复/补丁 - 2021--: 安全致谢 - 2022-06-07: 公众披露 漏洞成因 漏洞出现在: 订单进度中的地址输入字段（账单地址和送货地址） 攻击条件: - 远程攻击者利用“ guest order”选项注入恶意持久性脚本代码，通过订单流程并在受攻击页面上执行代码 - 未注册用户通过命令输入错误内容进行未注册订单处理，错误内容在订单执行查看后将内容传递到后端 漏洞风险 漏洞可利用性: 无需用户帐户和低用户交互即可被远程攻击者利用 攻击后果: - 会话劫持，持久性网络钓鱼攻击，恶意源和受影响应用程序模块的持久外部重定向和修改 风险声明: 漏洞被评估为中等安全风险 PoC复现开发 关键 exploitation payload: - - ` __________________ 受影响Web模块 受影响模块: 订单概览，订单атклиент接口