Skip to content
KitploitKITPLOIT
ToolsBlog
Einreichen
ToolsBlog
Einreichen

Hacking-, PenTest- und Cybersicherheits-Tools für Ihr Sicherheitsarsenal!

Kitploit ist ein Verzeichnis von Hacking-, Cybersicherheits- und Pentesting-Tools. Entdecken Sie die neuesten Projekt-Updates, um Schwachstellen zu finden, Systeme zu analysieren, Tests zu automatisieren und Ihre Sicherheit zu stärken.

··Feeds·Kontakt·Datenschutz·© 2026 Kitploit

Tool-Verzeichnis

Kategorien

Alle Kategorien anzeigen
Loading categories
CVE-2021-46080 — CVE-2021-46080 - Im Vehicle Service Management System 1.0 besteht eine Cross-Site-Request-Forgery-Schwachstelle (CSRF). Ein erfolgreicher CSRF-Angriff führt zu einer Stored-Cross-Site-Scripting-Schwachstelle. | Kitploit
Tools/GitHubGitHub/sanupl/cve-2021-46080
SchwachstellenanalyseExploitationWebanwendungs-ExploitationWebsicherheitPenetrationstests
GitHubsanupl/cve-2021-46080

CVE-2021-46080

CVE-2021-46080 - Im Vehicle Service Management System 1.0 besteht eine Cross-Site-Request-Forgery-Schwachstelle (CSRF). Ein erfolgreicher CSRF-Angriff führt zu einer Stored-Cross-Site-Scripting-Schwachstelle.

Repository anzeigen
11vor 4 MonatenNoch nicht geprüft

Beliebteste

Alle anzeigen →

Entdecken Sie die meistgenutzten Tools unserer Community.

Alle Tools erkunden

Durchsuchen Sie unsere Tool-Sammlung

Alle Tools anzeigen →
Teilen

CVE-2021-46080

Exploit-Titel: Vehicle Service Management System – „Mehrere“ Cross-Site-Request-Forgery (CSRF) führen zu Stored Cross-Site-Scripting (XSS)

Exploit-Autor: SANU P.L

CVE: CVE-2021-46080

CVSS: 4.8 MEDIUM

Referenzen:

  • https://www.plsanu.com/vehicle-service-management-system-multiple-cross-site-request-forgery-csrf-leads-to-stored-cross-site-scripting-xss
  • https://nvd.nist.gov/vuln/detail/CVE-2021-46080
  • https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46080

    • Beschreibung:

    Im Vehicle Service Management System 1.0 besteht eine Cross-Site-Request-Forgery-(CSRF)-Schwachstelle. Ein erfolgreicher CSRF-Angriff führt zu einer Stored-Cross-Site-Scripting-Schwachstelle.

    1. Vehicle Service Management System – „Mechanikerliste“ (/admin/?page=mechanics)

    Exploit:

    1. Besuchen Sie das Admin-Panel http://localhost/vehicle_service/admin
    2. Erstellen Sie zwei Admin-Konten.
    3. Melden Sie sich mit dem Admin-1-Konto in Browser A (Chrome) an.
    4. Melden Sie sich mit dem Admin-2-Konto in Browser B (Firefox) an.
    5. Navigieren Sie im Admin-1-Konto (Chrome) zum Abschnitt „Mechanikerliste“ und klicken Sie auf die Schaltfläche „Neu erstellen“.
    6. Injizieren Sie das folgende Payload in das Eingabefeld „Vollständiger Name“.

    Payload:

    root@kitploit:~
     "><script>alert(document.cookie)</script>
    1. Klicken Sie auf die Schaltfläche „Speichern“.
    2. Erfassen Sie die Anfrage in burpsuite und generieren Sie die CSRF-HTML-Datei.
    3. Speichern Sie die CSRF-HTML-Datei, z. B. CSRF.html
    4. Öffnen Sie die Datei CSRF.html in Browser B (Firefox).
    5. Navigieren Sie in Browser B (Firefox) zum Abschnitt „Mechanikerliste“.
    6. Der bösartige JavaScript-Code wird ausgelöst.

    2. Vehicle Service Management System – „Serviceanfragen“ (/admin/?page=service_requests)

    Exploit:

    1. Besuchen Sie das Admin-Panel http://localhost/vehicle_service/admin
    2. Erstellen Sie zwei Admin-Konten.
    3. Melden Sie sich mit dem Admin-1-Konto in Browser A (Chrome) an.
    4. Melden Sie sich mit dem Admin-2-Konto in Browser B (Firefox) an.
    5. Navigieren Sie im Admin-1-Konto (Chrome) zum Abschnitt „Serviceanfragen“ und klicken Sie auf die Schaltfläche „Neu erstellen“.
    6. Injizieren Sie das folgende Payload in das Eingabefeld „Eigentümer-Kontakt“.

    Payload:

    root@kitploit:~
     "><script>alert(document.cookie)</script>
    1. Klicken Sie auf die Schaltfläche „Anfrage speichern“.
    2. Erfassen Sie die Anfrage in burpsuite und generieren Sie die CSRF-HTML-Datei.
    3. Speichern Sie die CSRF-HTML-Datei, z. B. CSRF.html
    4. Öffnen Sie die Datei CSRF.html in Browser B (Firefox).
    5. Navigieren Sie in Browser B (Firefox) zum Abschnitt „Serviceanfragen“.
    6. Wählen Sie die neu erstellten Serviceanfragen aus und klicken Sie unter „Ansicht“ auf „Aktion“.
    7. Der bösartige JavaScript-Code wird ausgelöst.

    3. Vehicle Service Management System – „Kategorienliste“ (/admin/?page=maintenance/category)

    Exploit:

    1. Besuchen Sie das Admin-Panel http://localhost/vehicle_service/admin
    2. Erstellen Sie zwei Admin-Konten.
    3. Melden Sie sich mit dem Admin-1-Konto in Browser A (Chrome) an.
    4. Melden Sie sich mit dem Admin-2-Konto in Browser B (Firefox) an.
    5. Navigieren Sie im Admin-1-Konto (Chrome) zum Abschnitt „Kategorienliste“ und klicken Sie auf die Schaltfläche „Neu erstellen“.
    6. Injizieren Sie das folgende Payload in das Eingabefeld „Kategorienname“.

    Payload:

    root@kitploit:~
     "><script>alert(document.cookie)</script>
    1. Klicken Sie auf die Schaltfläche „Speichern“.
    2. Erfassen Sie die Anfrage in burpsuite und generieren Sie die CSRF-HTML-Datei.
    3. Speichern Sie die CSRF-HTML-Datei, z. B. CSRF.html
    4. Öffnen Sie die Datei CSRF.html in Browser B (Firefox).
    5. Navigieren Sie in Browser B (Firefox) zum Abschnitt „Kategorienliste“.
    6. Der bösartige JavaScript-Code wird ausgelöst.

    4. Vehicle Service Management System – „Serviceliste“ (/admin/?page=maintenance/services)

    Exploit:

    1. Besuchen Sie das Admin-Panel http://localhost/vehicle_service/admin
    2. Erstellen Sie zwei Admin-Konten.
    3. Melden Sie sich mit dem Admin-1-Konto in Browser A (Chrome) an.
    4. Melden Sie sich mit dem Admin-2-Konto in Browser B (Firefox) an.
    5. Navigieren Sie im Admin-1-Konto (Chrome) zum Abschnitt „Serviceliste“ und klicken Sie auf die Schaltfläche „Neu erstellen“.
    6. Injizieren Sie das folgende Payload in das Eingabefeld „Servicename“.

    Payload:

    root@kitploit:~
     "><script>alert(document.cookie)</script>
    1. Klicken Sie auf die Schaltfläche „Speichern“.
    2. Erfassen Sie die Anfrage in burpsuite und generieren Sie die CSRF-HTML-Datei.
    3. Speichern Sie die CSRF-HTML-Datei, z. B. CSRF.html
    4. Öffnen Sie die Datei CSRF.html in Browser B (Firefox).
    5. Navigieren Sie in Browser B (Firefox) zum Abschnitt „Serviceliste“.
    6. Der bösartige JavaScript-Code wird ausgelöst.

    5. Vehicle Service Management System – „Benutzerliste“ (/admin/?page=user/list)

    Exploit:

    1. Besuchen Sie das Admin-Panel http://localhost/vehicle_service/admin
    2. Erstellen Sie zwei Admin-Konten.
    3. Melden Sie sich mit dem Admin-1-Konto in Browser A (Chrome) an.
    4. Melden Sie sich mit dem Admin-2-Konto in Browser B (Firefox) an.
    5. Navigieren Sie im Admin-1-Konto (Chrome) zum Abschnitt „Benutzerliste“ und klicken Sie auf die Schaltfläche „Neu erstellen“.
    6. Injizieren Sie das folgende Payload in das Eingabefeld „Vorname“.

    Payload:

    root@kitploit:~
     "><script>alert(document.cookie)</script>
    1. Klicken Sie auf die Schaltfläche „Speichern“.
    2. Erfassen Sie die Anfrage in burpsuite und generieren Sie die CSRF-HTML-Datei.
    3. Speichern Sie die CSRF-HTML-Datei, z. B. CSRF.html
    4. Öffnen Sie die Datei CSRF.html in Browser B (Firefox).
    5. Navigieren Sie in Browser B (Firefox) zum Abschnitt „Benutzerliste“.
    6. Der bösartige JavaScript-Code wird ausgelöst.

    6. Vehicle Service Management System – „Einstellungen“ (/admin/?page=system_info)

    Exploit:

    1. Besuchen Sie das Admin-Panel http://localhost/vehicle_service/admin
    2. Erstellen Sie zwei Admin-Konten.
    3. Melden Sie sich mit dem Admin-1-Konto in Browser A (Chrome) an.
    4. Melden Sie sich mit dem Admin-2-Konto in Browser B (Firefox) an.
    5. Navigieren Sie im Admin-1-Konto (Chrome) zum Abschnitt „Einstellungen“.
    6. Injizieren Sie das folgende Payload in das Eingabefeld „Systemname“.

    Payload:

    root@kitploit:~
     "><script>alert(document.cookie)</script>
    1. Klicken Sie auf die Schaltfläche „Aktualisieren“.
    2. Erfassen Sie die Anfrage in burpsuite und generieren Sie die CSRF-HTML-Datei.
    3. Speichern Sie die CSRF-HTML-Datei, z. B. CSRF.html
    4. Öffnen Sie die Datei CSRF.html in Browser B (Firefox).
    5. Navigieren Sie in Browser B (Firefox) zum Abschnitt „Einstellungen“.
    6. Der bösartige JavaScript-Code wird ausgelöst.

    Auswirkungen:

    Eine Cross-Site-Request-Forgery-Schwachstelle besteht an mehreren Endpunkten und führt zu einer Stored-Cross-Site-Scripting-Schwachstelle.

    Gegenmaßnahmen:

    Es wird empfohlen, Folgendes umzusetzen:

    • Unvorhersehbar mit hoher Entropie, wie allgemein bei Session-Tokens.
    • An die Session des Benutzers gebunden.
    • In jedem Fall streng validiert, bevor die entsprechende Aktion ausgeführt wird.
    Tool herunterladen