CVE-2021-42662

CVE-2021-42662 - Vulnerabilidad de Cross-Site Scripting almacenado en el sistema de reserva y reserva de eventos en línea versión 2.3.0.

Descripción técnica:

Existe una vulnerabilidad XSS almacenado en el software de gestión de eventos versión 2.3.0. Un atacante puede aprovechar esta vulnerabilidad para ejecutar JavaScript en nombre de los navegantes del servidor web, lo que puede llevar al robo de cookies, desfiguración y más.

Componentes afectados -

Página vulnerable - HOLY

Parámetro vulnerable - "reason"

Pasos para explotar:

1. Navegue a http://localhost/event-management/views/?v=HOLY
2. Inserte su payload en el parámetro "reason"
3. Haga clic en "Add holiday"

Prueba de concepto (PoC) -

El siguiente payload le permitirá ejecutar el código JavaScript:

<script>alert("This is an XSS")</alert>

Referencias -