Dieses Repository enthält ein PoC-Video, CVE-2024-57522.mkv, das zeigt, wie ein Angreifer die XSS-Schwachstelle ausnutzen kann. Das PoC zeigt, wie ein Angreifer einen neuen Admin-Benutzer mit einem Payload im Namensfeld (z. B. <script>alert(1);</script>) erstellen kann. Wenn der Administrator die Benutzerliste aufruft, wird das bösartige Skript ausgeführt und ein Alert mit der Nachricht "1." angezeigt.

Angriffsvektoren

• Der Angreifer erstellt einen CSRF-Exploit, um einen Admin-Benutzer mit einem in das Namensfeld eingeschleusten bösartigen Skript zu erstellen. Verwendung von CVE-2024-57523
• Das bösartige Skript wird in der Datenbank gespeichert und ausgeführt, wenn ein Administrator die Benutzerliste aufruft.

Empfehlungen zur Schadensbegrenzung

Um diese Schwachstelle zu entschärfen, werden die folgenden Sicherheitsmaßnahmen empfohlen:

1. CSRF-Schutz: Implementieren Sie CSRF-Tokens in allen Formularen, die zustandsändernde Aktionen wie die Benutzererstellung durchführen, um unbefugte Anfragen zu verhindern.
2. Eingabevalidierung und -bereinigung: Bereinigen und escapen Sie Benutzereingaben ordnungsgemäß, insbesondere für Felder wie Benutzernamen oder Namen, um das Einschleusen bösartiger Skripte zu verhindern.
3. Content Security Policy (CSP): Implementieren Sie eine CSP, um die potenziellen Auswirkungen von XSS-Schwachstellen zu verringern, indem die Quellen eingeschränkt werden, von denen Skripte geladen werden können.
4. Escaping von benutzergenerierten Inhalten: Stellen Sie sicher, dass benutzergenerierte Inhalte validiert und escaped werden, bevor sie im Browser gerendert werden, um die Ausführung von Skripten zu verhindern.

Informationen zum Anbieter

• Anbieter: SourceCodester
• Produkt-URL: SourceCodester Packers and Movers Management System

Betroffene Versionen

• Packers and Movers Management System 1.0

Entdecker

• Madhav Shah - Sicherheitsforscher

Referenzen

• Packers and Movers Management System Official Website
• SourceCodester