CVE-2021-42662

CVE-2021-42662 - Vulnérabilité de script intersite persistante (XSS) dans le système de réservation et de réservation d'événements en ligne version 2.3.0.

Description technique :

Une vulnérabilité XSS persistante existe dans le logiciel de gestion d'événements version 2.3.0. Un attaquant peut exploiter cette vulnérabilité pour exécuter du javascript au nom des visiteurs du serveur web, ce qui peut entraîner le vol de cookies, la dégradation du site et plus encore.

Composants affectés -

Page vulnérable - HOLY

Paramètre vulnérable - "reason"

Étapes pour exploiter :

1. Accédez à http://localhost/event-management/views/?v=HOLY
2. Insérez votre payload dans le paramètre "reason"
3. Cliquez sur "Add holiday"

Preuve de concept (Poc) -

Le payload suivant vous permettra d'exécuter le code javascript -

<script>alert("This is an XSS")</alert>

Références -

https://www.exploit-db.com/exploits/50450

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42662

https://nvd.nist.gov/vuln/detail/CVE-2021-42662

Découvert par -

Alon Leviev(0xDeku), 22 octobre 2021.