Sploitus

Exploit for CVE-2023-44765_ConcreteCMS-Stored-XSS---Associations

kitploit ┬╖ 2026-09-06

Exploit Code

MARKDOWN32 lines
## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-SROMANHU-CVE-2023-44765_CONCRETECMS-STORED-XSS---ASSOCIATIONS
# ConcreteCMS XSS v2.2.18

## рд▓реЗрдЦрдХ: (Sergio)

**рд╡рд┐рд╡рд░рдг:** ConcreteCMS v.9.2.1 рдореЗрдВ рдХреНрд░реЙрд╕-рд╕рд╛рдЗрдЯ рд╕реНрдХреНрд░рд┐рдкреНрдЯрд┐рдВрдЧ рднреЗрджреНрдпрддрд╛ рдПрдХ рд╕реНрдерд╛рдиреАрдп рд╣рдорд▓рд╛рд╡рд░ рдХреЛ рд╕рд┐рд╕реНрдЯрдо рдФрд░ рд╕реЗрдЯрд┐рдВрдЧреНрд╕ рд╕реЗ рдбреЗрдЯрд╛ рдСрдмреНрдЬреЗрдХреНрдЯреНрд╕ рдХреЗ Plural Handle рдореЗрдВ рдПрдХ рдХреНрд░рд╛рдлреНрдЯреЗрдб рд╕реНрдХреНрд░рд┐рдкреНрдЯ рдХреЗ рдорд╛рдзреНрдпрдо рд╕реЗ рдордирдорд╛рдирд╛ рдХреЛрдб рдирд┐рд╖реНрдкрд╛рджрд┐рдд рдХрд░рдиреЗ рдХреА рдЕрдиреБрдорддрд┐ рджреЗрддреА рд╣реИред

**рд╣рдорд▓реЗ рдХреЗ рд╡реЗрдХреНрдЯрд░:** рд╕реНрдХреНрд░рд┐рдкреНрдЯрд┐рдВрдЧ "рд╕рд┐рд╕реНрдЯрдо рдФрд░ рд╕реЗрдЯрд┐рдВрдЧреНрд╕ рд╕реЗ рдбреЗрдЯрд╛ рдСрдмреНрдЬреЗрдХреНрдЯреНрд╕" рдХреЗ Plural Handle рдореЗрдВ рдкреНрд░рд╡рд┐рд╖реНрдЯрд┐ рдХреЗ рд╕реИрдирд┐рдЯрд╛рдЗрдЬрд╝реЗрд╢рди рдореЗрдВ рдПрдХ рднреЗрджреНрдпрддрд╛ рдЬрд╛рд╡рд╛рд╕реНрдХреНрд░рд┐рдкреНрдЯ рдХреЛрдб рдХреЛ рдЗрдВрдЬреЗрдХреНрдЯ рдХрд░рдиреЗ рдХреА рдЕрдиреБрдорддрд┐ рджреЗрддреА рд╣реИ рдЬреЛ рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛ рджреНрд╡рд╛рд░рд╛ рд╡реЗрдм рдкреЗрдЬ рддрдХ рдкрд╣реБрдВрдЪрдиреЗ рдкрд░ рдирд┐рд╖реНрдкрд╛рджрд┐рдд рд╣реЛрдЧрд╛ред

* * *

### POC:

рдкреИрдирд▓ рдореЗрдВ рд▓реЙрдЧ рдЗрди рдХрд░рдиреЗ рдкрд░, рд╣рдо рдЬрдирд░рд▓ рдореЗрдиреВ рдХреЗ "System & Settings - Data Objects." рдЕрдиреБрднрд╛рдЧ рдкрд░ рдЬрд╛рдПрдВрдЧреЗред

![image](https://assets.kitploit.com/production/public/readmes/32869/fcf629fdfbb6b8281ad05b9399b44d8c69b80666c73beec52869b0620c165e88.png)

рд╣рдо рдЙрд╕ рдкреЗрд▓реЛрдб рдХреЗ рд╕рд╛рде Entity рдлрд╝реАрд▓реНрдб рдХреЛ рд╕рдВрдкрд╛рджрд┐рдд рдХрд░рддреЗ рд╣реИрдВ рдЬрд┐рд╕реЗ рд╣рдордиреЗ рдмрдирд╛рдпрд╛ рд╣реИ рдФрд░ рджреЗрдЦрддреЗ рд╣реИрдВ рдХрд┐ рд╣рдо Plural Handle рдлрд╝реАрд▓реНрдб рдореЗрдВ рдордирдорд╛рдирд╛ рдЬрд╛рд╡рд╛рд╕реНрдХреНрд░рд┐рдкреНрдЯ рдХреЛрдб рдЗрдВрдЬреЗрдХреНрдЯ рдХрд░ рд╕рдХрддреЗ рд╣реИрдВред

### XSS рдкреЗрд▓реЛрдб:

root@kitploit:~
    
    
    ""><svg/onload=alert('PluralHandle')>
    

рдлрд┐рд░ рд╣рдо рдПрдХ рдПрд╕реЛрд╕рд┐рдПрд╢рди рдЬреЛрдбрд╝рддреЗ рд╣реИрдВ:

![image](https://assets.kitploit.com/production/public/readmes/32869/61e77d464d0351a63786ef1e17d1d0e1ec923630fcdc398c4cdb62f6e0b330de.png)

рдФрд░ рд╣рдо "Target Property Name and Inversed Property Name" рдореЗрдВ рдкреЗрд▓реЛрдб рдЬреЛрдбрд╝рдиреЗ рдХреЗ рд▓рд┐рдП Type рдХреЛ Many to Many рдореЗрдВ рдЬреЛрдбрд╝рддреЗ рд╣реИрдВ: