CVE-2021-46074

عنوان الاستغلال: Vehicle Service Management System - برمجة نصية عبر المواقع مخزنة (XSS) في 'الإعدادات'

مؤلف الاستغلال: SANU P.L

CVE: CVE-2021-46074

CVSS: 4.8 متوسط

المراجع:

• https://www.plsanu.com/vehicle-service-management-system-settings-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46074
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46074

الوصف:

توجد ثغرة برمجة نصية عبر المواقع مخزنة (XSS) في نظام Vehicle Service Management System من Sourcecodester الإصدار 1.0 عبر قسم الإعدادات في لوحة تسجيل الدخول.

الاستغلال:

1. سجّل الدخول إلى لوحة الإدارة http://localhost/vehicle_service/admin
2. انتقل إلى قسم الإعدادات http://localhost/vehicle_service/admin/?page=system_info
3. حقن الحمولة أدناه في حقل إدخال اسم النظام واسم النظام المختصر وحقل "من نحن".

الحمولة:

 "><script>alert(document.cookie)</script>

4. اضغط على زر التحديث.
5. يتم تشغيل كود جافاسكريبت الخبيث.

التأثير:

يمكن للمهاجم حقن كود جافاسكريبت خبيث في قسم الإعدادات.

التخفيف:

يُنصح بتعقيم جميع حقول الإدخال في جميع أنحاء التطبيق.