CVE-2021-46070

Título del Exploit: Vehicle Service Management System - 'Service Requests' Cross Site Scripting (XSS) almacenado

Autor del Exploit: SANU P.L

CVE: CVE-2021-46070

CVSS: 4.8 MEDIO

Referencias:

• https://www.plsanu.com/vehicle-service-management-system-service-requests-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46070
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46070

Descripción:

Existe una vulnerabilidad de Cross Site Scripting (XSS) almacenado en Vehicle Service Management System 1.0 a través de la sección Service Requests en el panel de inicio de sesión.

Explotación:

1. Inicie sesión en el panel de administración http://localhost/vehicle_service/admin
2. Vaya a la sección Service Requests y haga clic en el botón Create New.
3. Inyecte la siguiente carga útil en el campo de entrada Owner Contact, Address, Vehicle Name, Vehicle Registration Number y Vehicle Model.

Carga útil:

 "><script>alert(document.cookie)</script>

4. Haga clic en el botón Save Request.
5. Se activa el código javascript malicioso.
6. Vaya a la sección Report.
7. Se activa el código javascript malicioso.

Impacto:

Un atacante puede inyectar código JavaScript malicioso en la sección Service Requests.

Mitigación:

Se recomienda sanear todos los campos de entrada de la aplicación.