CVE-2021-42662

CVE-2021-42662 - Stored Cross-Site Scripting-Schwachstelle in der Online-Eventbuchungs- und Reservierungssystem Version 2.3.0.

Technische Beschreibung:

Eine Stored-XSS-Schwachstelle existiert in der Eventmanagement-Software Version 2.3.0. Ein Angreifer kann diese Schwachstelle ausnutzen, um JavaScript im Namen des Surfers auf dem Webserver auszuführen, was zu Cookie-Diebstahl, Defacement und mehr führen kann.

Betroffene Komponenten -

Angreifbare Seite - HOLY

Angreifbarer Parameter - "reason"

Schritte zur Ausnutzung:

1. Navigieren Sie zu http://localhost/event-management/views/?v=HOLY
2. Fügen Sie Ihren Payload in den Parameter "reason" ein
3. Klicken Sie auf "Add holiday"

Proof of concept (Poc) -

Der folgende Payload ermöglicht es Ihnen, den JavaScript-Code auszuführen -

<script>alert("This is an XSS")</alert>

Referenzen -