CVE-2023-49987

School Fees Management System v1.0 - Cross-Site-Scripting (XSS)-Schwachstelle im Parameter "tname" bei "new_term"

Beschreibung: Eine Cross-Site-Scripting-Schwachstelle (XSS) in der Komponente „new_term“ des School Fees Management Systems 1.0 ermöglicht es Angreifern, beliebige Web-Skripte oder HTML über einen manipulierten Payload auszuführen, der in den Parameter „tname“ injiziert wird.

Verwundbare Produktversion: School Fees Management System v1.0
CVE-Autor: Geraldo Alcântara
Datum: 28/11/2023
Bestätigt am: 19/12/2023
CVE: CVE-2023-49987
Getestet auf: Windows

Schritte zur Reproduktion:

Um die Schwachstelle auszunutzen, muss ein Benutzer mit entsprechenden Berechtigungen auf die Seite "/ci_fms/admin/management/term" zugreifen. Auf dieser Seite sollte der Benutzer entweder ein vorhandenes Semester bearbeiten oder ein neues hinzufügen. Der schädliche Payload muss während dieses Vorgangs in den Parameter "tname" eingefügt werden.

Payload::

<script>alert(document.domain)</script>

Entdecker/Credits:
Geraldo Alcântara