CVE-2021-46072

عنوان الاستغلال: Vehicle Service Management System - 'Service List' تخزين سكربت عبر المواقع (XSS)

مؤلف الاستغلال: SANU P.L

CVE: CVE-2021-46072

CVSS: 4.8 متوسط

المراجع:

• https://www.plsanu.com/vehicle-service-management-system-service-list-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46072
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46072

الوصف:

توجد ثغرة تخزين سكربت عبر المواقع (XSS) في Vehicle Service Management System 1.0 عبر قسم قائمة الخدمة في لوحة تسجيل الدخول.

الاستغلال:

1. سجّل الدخول إلى لوحة الإدارة http://localhost/vehicle_service/admin
2. انتقل إلى قسم قائمة الخدمة وانقر على زر إنشاء جديد.
3. احقن الحمولة أدناه في حقل إدخال اسم الخدمة والوصف.

الحمولة:

 "><script>alert(document.cookie)</script>

4. انقر على زر الحفظ.
5. يتم تشغيل كود جافاسكربت الخبيث.

التأثير:

يمكن للمهاجم حقن كود جافاسكربت خبيث في قسم قائمة الخدمة.

التخفيف:

يُوصى بتعقيم جميع حقول الإدخال في جميع أنحاء التطبيق.