CVE-2021-42663

CVE-2021-42662 - Vulnérabilité d'injection HTML dans le système de réservation d'événements en ligne version 2.3.0.

Description technique :

Une vulnérabilité d'injection HTML existe dans le système de réservation d'événements en ligne version 2.3.0. Un attaquant peut exploiter cette vulnérabilité pour modifier la visibilité du site web. Une fois que l'utilisateur cible clique sur un lien donné, il affiche le contenu du code HTML de son choix.

Composants affectés -

Page vulnérable - index.php

Paramètre vulnérable - "msg"

Étapes d'exploitation :

1. Accédez à http://localhost/event-management/views/index.php
2. Insérez votre payload dans le paramètre "msg" via l'URL
3. Envoyez le lien complet à la victime

Preuve de concept (PoC) -

La payload suivante vous permettra d'exécuter le code HTML -

<h1>This is an HTML injection</h1>

Références -