CVE-2022-45436

ثغرة Cross Site Scripting المنعكسة تؤدي إلى اختطاف الجلسة في pandorafms <= الحزمة v765 RRR.

> عنوان الاستغلال: Cross Site Scripting المنعكسة

> التاريخ: 15/02/2023

> مؤلف الاستغلال: Damodar Naik

> الصفحة الرئيسية للبائع: https://pandorafms.com/en/

> رابط البرنامج: https://github.com/pandorafms/pandorafms

> الإصدار: <= v765 RRR

> تم الاختبار على: Ubuntu

> معرّف CVE: CVE-2022-45436

خطوات إعادة الإنتاج

احصل على الطلب عن طريق الضغط على زر المساعدة في "http://localhost:8080/pandora_console/index.php?sec=network&sec2=operation/agentes/pandora_networkmap". (كما هو موضح في POC). أضف الحمولة في المعامل "b" في الطلب. انسخ الرابط مع الحمولة الموجودة فيه، وأرسله إلى المستخدم المسجل دخوله كمسؤول. عندما يحاول المستخدم المسؤول زيارة الرابط الخبيث، سيتم تنفيذ الحمولة. سيتم تنفيذ حمولة XSS، والتي يمكن استخدامها لسرقة قيمة ملف تعريف ارتباط المستخدم المسؤول، وما إلى ذلك.