CVE-2021-42662

CVE-2021-42662 - ثغرة تخزين لتنفيذ البرامج النصية عبر المواقع في نظام حجز الأحداث عبر الإنترنت الإصدار 2.3.0.

الوصف الفني:

توجد ثغرة تخزين XSS في برنامج إدارة الأحداث الإصدار 2.3.0. يمكن للمهاجم استغلال هذه الثغرة لتشغيل جافاسكريبت نيابة عن مستخدمي خادم الويب، مما قد يؤدي إلى سرقة ملفات تعريف الارتباط، تشويه الموقع، والمزيد.

المكونات المتأثرة -

الصفحة المعرضة للخطر - HOLY

المعامل المعرض للخطر - "reason"

خطوات الاستغلال:

1. انتقل إلى http://localhost/event-management/views/?v=HOLY
2. أدخل حمولتك في المعامل "reason"
3. انقر على "إضافة عطلة"

إثبات المفهوم (Poc) -

ستسمح لك الحمولة التالية بتشغيل كود الجافاسكريبت -

<script>alert("This is an XSS")</alert>

المراجع -

https://www.exploit-db.com/exploits/50450