CVE-2023-49974

Customer Support System 1.0 – Cross-Site-Scripting (XSS)-Sicherheitslücke im Feld/Parameter „contact“ auf der Seite „customer_list“

Beschreibung: Customer Support System 1.0 ist anfällig für gespeichertes XSS. In Version 1 des Customer Support Systems existiert eine XSS-Sicherheitslücke. Ein Angreifer kann JavaScript-Code über das Feld/Parameter „contact“ beim Bearbeiten/Erstellen eines Kunden einschleusen. Der Code wird ausgeführt, sobald die Seite „/customer_support/index.php?page=customer_list“ besucht wird.

Betroffene Produktversion: Customer Support System 1.0
CVE-Autor: Geraldo Alcântara
Datum: 28.11.2023
Bestätigt am: 19.12.2023
CVE: CVE-2023-49974
Getestet auf: Windows

Schritte zur Reproduktion:

1. Melden Sie sich bei der Anwendung an.
2. Navigieren Sie zu „/customer_support/index.php?page=customer_list“, um einen vorhandenen Kunden zu bearbeiten, oder zu „/customer_support/index.php?page=new_customer“, um einen neuen Kunden zu erstellen.
3. Erstellen oder bearbeiten Sie einen Kunden und fügen Sie die schädliche Nutzlast in das Feld/Parameter „contact“ ein.
4. Nutzlast:

</dt></b><script>alert(document.domain)</script>

Entdecker/Quellen:
Geraldo Alcântara