4websecurity/cve-2022-38553Preuve de concept pour une injection de scripts intersites (XSS) réfléchie dans Academy LMS versions antérieures à 5.9.1, déclenchée via le paramètre search?query pour exécuter du JavaScript arbitraire.
XSS SUR "ACADEMY LEARNING MANAGEMENT SYSTEM" < v5.9.1 - PREUVE DE CONCEPT (POC) CVE-2022-38553
Titre de l'exploit: ACADEMY LEARNING MANAGEMENT SYSTEM < v5.9.1 - Cross Site Scripting (XSS)
CVE ID: CVE-2022-38553
Auteur de l'exploit: 4websecurity
Page web de l'auteur: https://4websecurity.com
Date: 16-08-2022
Page du fournisseur: https://creativeitem.com
Version: jusqu'à 5.9.1
Page de démo du fournisseur: https://demo.creativeitem.com/academy/home/
Références:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-38553
https://www.openbugbounty.org/reports/2849933/
https://cve.report/CVE-2022-38553
https://nvd.nist.gov/vuln/detail/CVE-2022-38553
https://youtu.be/yFiZffHoeKs
Champ de vulnérabilité:
Une vulnérabilité de cross-site scripting (XSS) dans ACADEMY LEARNING MANAGEMENT SYSTEM <5.9.1 permet à des attaquants distants d'injecter des scripts web ou du HTML arbitraire via le paramètre search?query.
Preuve de concept (POC):
https://example.com/search?query=%22%3E%3Cscript%3Ealert(%22XSS%22)%3C/script%3E
Charge utile:
">
Risque de sécurité:
Cette vulnérabilité de sécurité permet d'exécuter du code JavaScript arbitraire dans le navigateur de l'utilisateur s'il accède à une URL préparée par des attaquants.
