CVE-2023-49977

Customer Support System 1.0 - Cross-Site Scripting (XSS) Schwachstelle im "Address"-Feld/-Parameter auf der Seite "customer_list"

Beschreibung: Das Customer Support System 1.0 ist anfällig für gespeichertes XSS. Eine XSS-Schwachstelle existiert in Version 1 des Customer Support Systems. Ein böswilliger Akteur kann JavaScript-Code über das Feld/den Parameter "Address" beim Bearbeiten/Erstellen eines Kunden einschleusen. Der Code wird immer dann ausgeführt, wenn die Seite "/customer_support/index.php?page=customer_list" besucht wird.

Verwundbare Produktversion: Customer Support System 1.0
CVE-Autor: Geraldo Alcântara
Datum: 28/11/2023
Bestätigt am: 19/12/2023
CVE: CVE-2023-49977
Getestet auf: Windows

Schritte zur Reproduktion:

1. Melden Sie sich bei der Anwendung an.
2. Navigieren Sie zu "/customer_support/index.php?page=customer_list", um einen vorhandenen Kunden zu bearbeiten, oder zu "/customer_support/index.php?page=new_customer", um einen neuen Kunden zu erstellen.
3. Erstellen oder bearbeiten Sie einen Kunden und fügen Sie die schädliche Nutzlast in das Feld/den Parameter "Address" ein.
4. Nutzlast:

</dt></b><script>alert(document.domain)</script>