pn-tester/cve-2022-35499Exploit de prueba de concepto para la vulnerabilidad de cross-site scripting (XSS) reflejado en Trimble TM4WEB <=22.2.0, que demuestra la inyección a través de parámetros URL arbitrarios en el endpoint del visor de facturas externo.
En Trimble TM4WEB <=22.2.0 el endpoint del visor externo de facturas es vulnerable a cross-site scripting reflejado mediante la inyección en un parámetro arbitrario añadido a la URL.
Paso 1 :
El siguiente ejemplo de URL activará la vulnerabilidad y ejecutará la función javascript alert() mostrando el número 1 como prueba de concepto. Esta vulnerabilidad funciona en todas las instalaciones de TM4WEB observadas hasta ahora por el investigador. ejemplo de URL maliciosa usando un sitio inexistente:
https://example-tm4web.com/trace/external_bill_viewer.msw?foo=bar"}%27);alert(1);<!--
Esta URL desencadena la siguiente solicitud GET maliciosa.
GET /trace/external_bill_viewer.msw?foo=bar%22}%27);alert(1);%3C!-- HTTP/1.1
Host: example-tm4web.com
Connection: close
Esta solicitud explota un parámetro arbitrario del endpoint vulnerable external_bill_viewer.msw.
El ataque da como resultado la inyección de código javascript válido en la línea 84 de la respuesta HTTP, como se muestra en la siguiente captura de pantalla :
El ejemplo de inyección se muestra a continuación con la ejecución resultante de JavaScript del payload alert(1) :
