0xzerosec/cve-2025-55887Prueba de concepto para CVE-2025-55887, una vulnerabilidad XSS en el servicio de reserva de comidas ARD a través del parámetro transactionID, con payload de reproducción y detalles de impacto.
Se descubrió una vulnerabilidad de Cross-Site Scripting (XSS) en el servicio de reserva de comidas ARD. La vulnerabilidad existe en el parámetro GET transactionID en la página de confirmación de la transacción. Debido a una validación de entrada y codificación de salida inadecuadas, un atacante puede inyectar código JavaScript malicioso que se ejecuta en el contexto del navegador del usuario. Esto puede llevar al secuestro de sesión, robo de cookies y otras acciones maliciosas realizadas en nombre de la víctima.
Payload
https://services.ard.fr/index.php?id=5869&ocid=183&token=1SemPugSUq3maSpK81871559797854161&transactionID=<script>alert(/OPENBUGBOUNTY/)</script>
Captura de pantalla de la vulnerabilidad
