CVE-2021-42663

CVE-2021-42662 - Vulnerabilidad de inyección HTML en el sistema de reservas de eventos en línea versión 2.3.0.

Descripción técnica:

Existe una vulnerabilidad de inyección HTML en el sistema de reservas de eventos en línea versión 2.3.0. Un atacante puede aprovechar esta vulnerabilidad para cambiar la visibilidad del sitio web. Cuando el usuario objetivo hace clic en un enlace determinado, mostrará el contenido del código HTML elegido por el atacante.

Componentes afectados -

Página vulnerable - index.php

Parámetro vulnerable - "msg"

Pasos para explotar:

1. Navegue a http://localhost/event-management/views/index.php
2. Inserte su payload en el parámetro "msg" a través de la URL
3. Envíe el enlace completo a la víctima

Prueba de concepto (PoC) -

El siguiente payload le permitirá ejecutar el código HTML -

<h1>This is an HTML injection</h1>

Referencias -

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42663

https://nvd.nist.gov/vuln/detail/CVE-2021-42663

Descubierto por -

Alon Leviev(0xDeku), 22 de octubre de 2021.