CVE-2021-46070

Exploit-Titel: Fahrzeugverwaltungssystem – 'Service-Anfragen' gespeichert Cross-Site-Scripting (XSS)

Exploit-Autor: SANU P.L

CVE: CVE-2021-46070

CVSS: 4.8 MEDIUM

Referenzen:

• https://www.plsanu.com/vehicle-service-management-system-service-requests-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46070
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46070

Beschreibung:

Es besteht eine Schwachstelle für gespeichertes Cross-Site-Scripting (XSS) im Vehicle Service Management System 1.0 über den Bereich „Service-Anfragen“ im Anmeldefenster.

Ausnutzung:

1. Melden Sie sich am Admin-Panel http://localhost/vehicle_service/admin an.
2. Navigieren Sie zum Bereich „Service-Anfragen“ und klicken Sie auf die Schaltfläche „Create New“.
3. Injizieren Sie das folgende Payload in die Eingabefelder „Owner Contact“, „Address“, „Vehicle Name“, „Vehicle Registration Number“ und „Vehicle Model“.

Payload:

 "><script>alert(document.cookie)</script>

4. Klicken Sie auf die Schaltfläche „Save Request“.
5. Der bösartige JavaScript-Code wird ausgelöst.
6. Navigieren Sie zum Bereich „Report“.
7. Der bösartige JavaScript-Code wird ausgelöst.

Auswirkung:

Ein Angreifer kann in den Bereich „Service-Anfragen“ bösartigen JavaScript-Code injizieren.

Gegenmaßnahme:

Es wird empfohlen, alle Eingabefelder in der gesamten Anwendung zu bereinigen.