CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 0CVE-2017-1000223
https://notcve.org/view.php?id=CVE-2017-1000223
A stored web content injection vulnerability (WCI, a.k.a XSS) is present in MODX Revolution CMS version 2.5.6 and earlier. An authenticated user with permissions to edit users can save malicious JavaScript as a User Group name and potentially take control over victims' accounts. This can lead to an escalation of privileges providing complete administrative control over the CMS. Una vulnerabilidad de inyección de contenidos web (WCI) almacenada, también conocida como Cross-Site Scripting (XSS), está presente en MODX Revolution CMS en versiones 2.5.6 y anteriores. Un usuario autenticado con permisos para editar usuarios puede guardar código JavaScript malicioso como un nombre de grupo de usuarios y podría tomar el control de las cuentas de las víctimas. • https://raw.githubusercontent.com/modxcms/revolution/v2.5.7-pl/core/docs/changelog.txt • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2017-11744
https://notcve.org/view.php?id=CVE-2017-11744
In MODX Revolution 2.5.7, the "key" and "name" parameters in the System Settings module are vulnerable to XSS. A malicious payload sent to connectors/index.php will be triggered by every user, when they visit this module. En MODX Revolution versión 2.5.7, los parámetros "key" y "name" en el módulo Configuración de Sistema son vulnerables a ataques de tipo XSS. Cada usuario que acceda a este módulo activará una carga maliciosa enviada hacia el archivo connectors/index.php que será activado por cada usuario, cuando visiten este módulo. • https://github.com/modxcms/revolution/issues/13564 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 1CVE-2017-9068
https://notcve.org/view.php?id=CVE-2017-9068
In MODX Revolution before 2.5.7, an attacker is able to trigger Reflected XSS by injecting payloads into several fields on the setup page, as demonstrated by the database_type parameter. En MODX Revolution en versiones anteriores a la 2.5.7, un atacante puede provocar Cross-Site Scripting (XSS) reflejado inyectando cargas útiles en varios campos en la página de configuración, tal y como se demuestra con el parámetro database_type. • https://citadelo.com/en/2017/04/modx-revolution-cms https://github.com/modxcms/revolution/pull/13424 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 4.7EPSS: 0%CPEs: 1EXPL: 1CVE-2017-9071
https://notcve.org/view.php?id=CVE-2017-9071
In MODX Revolution before 2.5.7, an attacker might be able to trigger XSS by injecting a payload into the HTTP Host header of a request. This is exploitable only in conjunction with other issues such as Cache Poisoning. En MODX Revolution anterior a versión 2.5.7, un atacante podría ser capaz de desencadenar un problema de XSS mediante la inyección de una carga útil en el encabezado Host HTTP de una petición. Esto es explotable solo en conjunto con otros problemas como el envenenamiento de la caché. • https://citadelo.com/en/2017/04/modx-revolution-cms https://github.com/modxcms/revolution/pull/13426 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 1CVE-2017-9069
https://notcve.org/view.php?id=CVE-2017-9069
In MODX Revolution before 2.5.7, a user with file upload permissions is able to execute arbitrary code by uploading a file with the name .htaccess. En MODX Revolution en versiones anteriores a la 2.5.7, usuarios con permisos para subir archivos pueden ejecutar código arbitrarios mediante la subida de un archivo denominado .htaccess. • https://citadelo.com/en/2017/04/modx-revolution-cms https://github.com/modxcms/revolution/pull/13423 • CWE-434: Unrestricted Upload of File with Dangerous Type •