CVE-2021-46073

Exploit-Titel: Vehicle Service Management System - 'Benutzerliste' Gespeichertes Cross-Site-Scripting (XSS)

Exploit-Autor: SANU P.L

CVE: CVE-2021-46073

CVSS: 4.8 MEDIUM

Referenzen:

• https://www.plsanu.com/vehicle-service-management-system-user-list-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46073
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46073

Beschreibung:

Im Sourcecodester Vehicle Service Management System 1.0 besteht eine Schwachstelle für gespeichertes Cross-Site-Scripting (XSS) über den Bereich Benutzerliste im Anmeldebereich.

Exploit:

1. Melden Sie sich im Admin-Panel an: http://localhost/vehicle_service/admin
2. Navigieren Sie zum Bereich Benutzerliste und klicken Sie auf die Schaltfläche „Neu erstellen“.
3. Fügen Sie den folgenden Payload in die Eingabefelder für Vorname und Nachname ein.

Payload:

 "><script>alert(document.cookie)</script>

4. Klicken Sie auf die Schaltfläche „Speichern“.
5. Der bösartige JavaScript-Code wird ausgelöst.

Auswirkungen:

Ein Angreifer kann bösartigen JavaScript-Code in den Bereich Benutzerliste injizieren.

Gegenmaßnahmen:

Es wird empfohlen, alle Eingabefelder in der gesamten Anwendung zu bereinigen (sanitize).