CVE-2021-46071

Exploit-Titel: Vehicle Service Management System - 'Category List' Stored Cross Site Scripting (XSS)

Exploit-Autor: SANU P.L

CVE: CVE-2021-46071

CVSS: 4.8 MEDIUM

Referenzen:

• https://www.plsanu.com/vehicle-service-management-system-category-list-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46071
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46071

Beschreibung:

In Vehicle Service Management System 1.0 besteht eine Schwachstelle für Stored Cross-Site-Scripting (XSS) im Bereich 'Category List' des Login-Panels.

Exploit:

1. Melden Sie sich im Admin-Panel an: http://localhost/vehicle_service/admin
2. Navigieren Sie zum Bereich 'Category List' und klicken Sie auf die Schaltfläche 'Create New'.
3. Fügen Sie den folgenden Payload in das Eingabefeld 'Category Name' ein.

Payload:

 "><script>alert(document.cookie)</script>

4. Klicken Sie auf die Schaltfläche 'Save'.
5. Der schädliche JavaScript-Code wird ausgelöst.

Auswirkungen:

Ein Angreifer kann schädlichen JavaScript-Code in den Bereich 'Category List' injizieren.

Gegenmaßnahmen:

Es wird empfohlen, alle Eingabefelder in der gesamten Anwendung zu bereinigen.