CVE-2024-40510

Cross-Site-Scripting-Sicherheitslücke in openPetra v.2023.02 über die serverMCommon.asmx-Funktion.

Beschreibung: Ein nicht authentifizierter Benutzer kann Cookies von authentifizierten Benutzern stehlen, indem er eine XSS in openPetra v.2023.02 über die serverMCommon.asmx-Funktion ausnutzt.

Betroffene Produktversion: openPetra v.2023.02
CVE-Autor: Jansen Moreira Datum: 13.07.2024
CVE: CVE-2024-40510
CVE-Link: https://www.cve.org/CVERecord?id=CVE-2024-40510
NVD-Link: https://nvd.nist.gov/vuln/detail/CVE-2024-40510
Tenable-Link: https://www.tenable.com/cve/CVE-2024-40510
Bestätigt am: 13.07.2024
Getestet auf: Linux

Schritte zur Reproduktion:

1. Rufen Sie die Startseite auf
2. Verwenden Sie den folgenden Pfad und fügen Sie die XSS-Nutzlast im Parameter "tab" ein. Bsp.: http://target.com/api/serverMCommon.asmx?bnd=TMCommonWebServiceSoap&op=TFormTemplatesWebConnector_UploadFinanceFormTemplate&page=op&tab=x