CVE-2021-46069

Exploit-Titel: Vehicle Service Management System - 'Mechanikerliste' Gespeichertes Cross-Site-Scripting (XSS)

Exploit-Autor: SANU P.L

CVE: CVE-2021-46069

CVSS: 4.8 MEDIUM

Referenzen:

• https://www.plsanu.com/vehicle-service-management-system-mechanic-list-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46069
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46069

Beschreibung:

Im Vehicle Service Management System 1.0 besteht eine Sicherheitsanfälligkeit für gespeichertes Cross-Site-Scripting (XSS) über den Bereich „Mechanikerliste" im Anmelde-Panel.

Exploit:

1. Melden Sie sich im Admin-Panel an: http://localhost/vehicle_service/admin
2. Navigieren Sie zum Bereich „Mechanikerliste" und klicken Sie auf die Schaltfläche „Neu erstellen".
3. Fügen Sie den folgenden Payload in die Eingabefelder „Vollständiger Name" und „Kontakt" ein.

Payload:

 "><script>alert(document.cookie)</script>

4. Klicken Sie auf die Schaltfläche „Speichern".
5. Der schädliche JavaScript-Code wird ausgelöst.

Auswirkungen:

Ein Angreifer kann schädlichen JavaScript-Code in den Bereich „Mechanikerliste" injizieren.

Gegenmaßnahmen:

Es wird empfohlen, alle Eingabefelder in der gesamten Anwendung zu bereinigen.