rashidkhanpathan/cve-2022-44830إثبات المفهوم لثغرة CVE-2022-44830، وهي ثغرة حقن CSV في Sourcecodester Event Registration App v1.0. يُظهر إمكانية تنفيذ التعليمات البرمجية عن بُعد عبر صيغ Excel المصممة في حقول المستخدمين.
[الوصف المقترح] تم اكتشاف أن تطبيق Sourcecodester Event Registration App الإصدار 1.0 يحتوي على ثغرات متعددة من نوع حقن CSV عبر حقول الاسم الأول وجهة الاتصال والملاحظات. تسمح هذه الثغرات للمهاجمين بتنفيذ تعليمات برمجية عشوائية عبر ملف إكسيل معد.
[معلومات إضافية] Proof of Concept: https://drive.google.com/file/d/17rSb8GLFPQfqnVFI56AYffbVMDg8z75t/view?usp=sharing Vendor Homepage: https://www.sourcecodester.com/javascript/15214/event-registration-app-export-csv-javascript-free-source-code.html Software Link: https://www.sourcecodester.com/sites/default/files/download/oretnom23/registration.zip
[نوع الثغرة الأخرى] CSV Injection
[بائع المنتج] Sourcecodester
[قاعدة الكود المصدري للمنتج المتأثر] تطبيق تسجيل الأحداث مع التصدير إلى CSV بلغة JavaScript - 1.0
[المكون المتأثر] الكود المصدري
[نوع الهجوم] عن بُعد
[تأثير تنفيذ التعليمات البرمجية] صحيح
[متجهات الهجوم] من أجل استغلال هذه الثغرة، يحتاج المهاجم إلى إدراج صيغة إكسيل في حقول الاسم الأول وجهة الاتصال والملاحظات، ثم النقر على حفظ ثم النقر على تصدير إلى CSV ثم النقر على ملف CSV الذي تم تنزيله في إكسيل. بمجرد أن يفتح المهاجم ملف CSV الذي تم تنزيله في إكسيل، سيتم تنفيذ الحمولة.
[المراجع] https://drive.google.com/file/d/17rSb8GLFPQfqnVFI56AYffbVMDg8z75t/view?usp=sharing https://www.sourcecodester.com/javascript/15214/event-registration-app-export-csv-javascript-free-source-code.html https://www.sourcecodester.com/sites/default/files/download/oretnom23/registration.zip
[المكتشف] RashidKhan Pathan
استخدم CVE-2022-44830.
