security-avs/cve-2020-16270Prueba de concepto para CVE-2020-16270, una vulnerabilidad XSS en OLIMPOKS anterior a 3.3.39, que demuestra la inyección remota de JavaScript malicioso para robar cookies de administrador y realizar ataques de phishing.
[Descripción sugerida]: OLIMPOKS por debajo de 3.3.39 permite XSS en Auth/Admin ErrorMessage.
Un atacante remoto puede usar la vulnerabilidad descubierta para inyectar carga útil maliciosa de JavaScript en los navegadores de las víctimas en el contexto de las aplicaciones vulnerables. El código ejecutado puede usarse para robar cookies de administradores, influir en el contenido HTML de la aplicación objetivo y realizar ataques de phishing. La aplicación vulnerable se utiliza en más de 3000 organizaciones en diferentes sectores, desde el comercio minorista hasta la industria.
[Información adicional]:
Se envió una carta al proveedor sobre la vulnerabilidad. La vulnerabilidad fue confirmada por el proveedor.
La vulnerabilidad fue confirmada por una agencia gubernamental: https://bdu.fstec.ru/vul/2020-04623
[Tipo de vulnerabilidad]: Cross Site Scripting (XSS)
[Proveedor del producto]: olimpoks.ru
[Código base del producto afectado]: sistema en línea olimpoks por debajo de 3.3.39.
[Tipo de ataque]: Remoto
[Impacto de denegación de servicio]: Falso
[Impacto de divulgación de información]: Verdadero
[Vectores de ataque]: URL y parámetro vulnerables: http://olimpoks.TARGET-HOST:9001/Auth/Admin?ErrorMessage=bb%27);alert(1);//
[Descubierto por]: Alexander Semenenko, Luka Safonov, Sergey Zelensky
[Prueba de concepto]:
