CVE-2021-42664

CVE-2021-42664 - ثغرة تخزينية للبرمجة النصية عبر المواقع (Stored XSS) في نظام بوابة المهندسين عبر الإنترنت.

الوصف الفني:

توجد ثغرة XSS تخزينية في نظام بوابة المهندسين عبر الإنترنت. يمكن للمهاجم استغلال هذه الثغرة لتشغيل كود جافاسكريبت نيابة عن مستخدمي خادم الويب، مما قد يؤدي إلى سرقة ملفات تعريف الارتباط (cookies) وتشويه الصفحات والمزيد.

المكونات المتأثرة -

الصفحة المعرضة للخطر - add_quiz.php

المعلمات المعرضة للخطر - "quiz_title", "description"

خطوات الاستغلال:

1. انتقل إلى http://localhost/nia_munoz_monitoring_system/add_quiz.php
2. أدخل الحمولة الخاصة بك في المعلمة "quiz_title" أو المعلمة "description"
3. انقر على حفظ

إثبات المفهوم (Poc) -

الحمولة التالية ستسمح لك بتشغيل كود جافاسكريبت -

<script>alert("This is an XSS")</script>

المراجع -

https://www.exploit-db.com/exploits/50451

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42664

https://nvd.nist.gov/vuln/detail/CVE-2021-42664

تم الاكتشاف بواسطة -

Alon Leviev(0xDeku)، 22 أكتوبر، 2021.