CVE-2021-42663

CVE-2021-42662 - HTML-Injection-Schwachstelle im Online-Eventbuchungs- und Reservierungssystem Version 2.3.0.

Technische Beschreibung:

Eine HTML-Injection-Schwachstelle existiert im Online Event Booking and Reservation System Version 2.3.0. Ein Angreifer kann diese Schwachstelle ausnutzen, um die Sichtbarkeit der Website zu verändern. Sobald der Zielbenutzer auf einen bestimmten Link klickt, wird der Inhalt des vom Angreifer gewählten HTML-Codes angezeigt.

Betroffene Komponenten -

Verwundbare Seite - index.php

Verwundbarer Parameter - "msg"

Schritte zur Ausnutzung:

1. Navigieren Sie zu http://localhost/event-management/views/index.php
2. Fügen Sie Ihr Payload über die URL in den Parameter "msg" ein
3. Senden Sie den vollständigen Link an das Opfer

Proof of Concept (PoC) -

Das folgende Payload ermöglicht es Ihnen, den HTML-Code auszuführen:

<h1>This is an HTML injection</h1>

Referenzen -

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42663

https://nvd.nist.gov/vuln/detail/CVE-2021-42663

Entdeckt von -

Alon Leviev (0xDeku), 22. Oktober 2021.