security-avs/cve-2020-16270Prueba de concepto para CVE-2020-16270: una vulnerabilidad de XSS almacenado/reflejado en OLIMPOKS versión 3.3.39 o inferior que permite a atacantes remotos inyectar JavaScript malicioso a través del parámetro Auth/Admin ErrorMessage.
[Descripción sugerida]: OLIMPOKS por debajo de 3.3.39 permite XSS en Auth/Admin ErrorMessage.
Un atacante remoto puede usar la vulnerabilidad descubierta para inyectar carga útil maliciosa de JavaScript en los navegadores de las víctimas en el contexto de las aplicaciones vulnerables. El código ejecutado puede usarse para robar cookies de administradores, influir en el contenido HTML de la aplicación objetivo y realizar ataques de phishing. La aplicación vulnerable se utiliza en más de 3000 organizaciones en diferentes sectores, desde el comercio minorista hasta la industria.
[Información adicional]:
Se envió una carta al proveedor sobre la vulnerabilidad. La vulnerabilidad fue confirmada por el proveedor.
La vulnerabilidad fue confirmada por una agencia gubernamental: https://bdu.fstec.ru/vul/2020-04623
[Tipo de vulnerabilidad]: Cross Site Scripting (XSS)
[Proveedor del producto]: olimpoks.ru
[Código base del producto afectado]: sistema en línea olimpoks por debajo de 3.3.39.
[Tipo de ataque]: Remoto
[Impacto de denegación de servicio]: Falso
[Impacto de divulgación de información]: Verdadero
[Vectores de ataque]: URL y parámetro vulnerables: http://olimpoks.TARGET-HOST:9001/Auth/Admin?ErrorMessage=bb%27);alert(1);//
[Descubierto por]: Alexander Semenenko, Luka Safonov, Sergey Zelensky
[Prueba de concepto]:
