CVE-2023-49974

Customer Support System 1.0 - Vulnérabilité de Cross-Site Scripting (XSS) dans le champ/paramètre "contact" sur la page "customer_list"

Description : Customer Support System 1.0 est vulnérable à une XSS stockée. Une vulnérabilité XSS existe dans la version 1 du Customer Support System. Un acteur malveillant peut insérer du code JavaScript via le champ/paramètre "contact" lors de la modification/création d'un client. Le code est exécuté à chaque fois que la page "/customer_support/index.php?page=customer_list" est visitée.

Version du produit vulnérable : Customer Support System 1.0
Auteur du CVE : Geraldo Alcântara
Date : 28/11/2023
Confirmé le : 19/12/2023
CVE : CVE-2023-49974
Testé sur : Windows

Étapes pour reproduire :

1. Connectez-vous à l'application.
2. Accédez à "/customer_support/index.php?page=customer_list" pour modifier un client existant ou à "/customer_support/index.php?page=new_customer" pour créer un nouveau client.
3. Créez ou modifiez un client et insérez la charge utile malveillante dans le champ/paramètre "contact".
4. Charge utile :

</dt></b><script>alert(document.domain)</script>

Découvreur(s)/Crédits :
Geraldo Alcântara