CVE-2023-46019-Code-Projects-Blood-Bank-1.0-Vulnérabilité-de-Cross-Site-Scripting-Réfléchi

• Auteur de l'exploit : ersinerenler

Page d'accueil du fournisseur

• https://code-projects.org/blood-bank-in-php-with-source-code

Lien du logiciel

• https://download-media.code-projects.org/2020/11/Blood_Bank_In_PHP_With_Source_code.zip

Aperçu

• Code-Projects Blood Bank V1.0 est susceptible de présenter une vulnérabilité de sécurité importante impliquant un Cross-Site Scripting Réfléchi (XSS) via le paramètre 'error' dans le fichier abs.php. L'application ne parvient pas à assainir correctement les données fournies par l'utilisateur, ce qui la rend sujette à des attaques par injection de scripts. Un attaquant peut exploiter cette faille pour exécuter du code script arbitraire dans le navigateur d'utilisateurs peu méfiants, compromettant potentiellement leur sécurité et leur vie privée sur le site concerné.

Détails de la vulnérabilité

• ID CVE : CVE-2023-46019
• Version affectée : Blood Bank V1.0
• Fichier vulnérable : /abs.php
• Nom du paramètre : error
• Type d'attaque : local

Références :

• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-46019
• https://nvd.nist.gov/vuln/detail/CVE-2023-46019

Description

• Le paramètre 'error' dans le fichier abs.php de Code-Projects Blood Bank V1.0 est sujet à un Cross-Site Scripting Réfléchi (XSS). Cette vulnérabilité provient d'une validation et d'un assainissement insuffisants des données fournies par l'utilisateur. Un attaquant peut exploiter cette faiblesse en injectant des scripts malveillants dans le paramètre 'error', ce qui, lorsqu'ils sont exécutés, pourrait compromettre le navigateur de l'utilisateur dans le contexte du site concerné.

Preuve de concept (PoC) :

• Charge utile : "><svg/onload=alert(document.domain)>
• http://localhost/bloodbank/abs.php?error="><svg/onload=alert(document.domain)>