CVE-2023-49977

Customer Support System 1.0 - ثغرة البرمجة النصية عبر المواقع (XSS) في حقل/معامل "Address" في صفحة "customer_list"

الوصف: Customer Support System 1.0 عرضة لثغرة XSS مخزنة. توجد ثغرة XSS في الإصدار 1 من Customer Support System. يمكن للمهاجم إدراج كود JavaScript من خلال حقل/معامل "Address" عند تعديل أو إنشاء عميل. يتم تنفيذ الكود كلما تمت زيارة الصفحة "/customer_support/index.php?page=customer_list".

إصدار المنتج الضعيف: Customer Support System 1.0
مؤلف CVE: Geraldo Alcântara
التاريخ: 28/11/2023
تم التأكيد في: 19/12/2023
CVE: CVE-2023-49977
تم الاختبار على: Windows

خطوات إعادة الإنتاج:

1. سجل الدخول إلى التطبيق.
2. انتقل إلى "/customer_support/index.php?page=customer_list" لتعديل عميل موجود أو "/customer_support/index.php?page=new_customer" لإنشاء عميل جديد.
3. أنشئ أو عدّل عميلاً وأدخل الحمولة الضارة في حقل/معامل "Address".
4. الحمولة:

</dt></b><script>alert(document.domain)</script>

المكتشف(ون)/الاعتمادات: Geraldo Alcântara