CVE-2023-49977

Customer Support System 1.0 - Vulnérabilité de Cross-Site Scripting (XSS) dans le champ/paramètre 'Address' sur la page 'customer_list'

Description : Customer Support System 1.0 est vulnérable à une XSS stockée. Une vulnérabilité XSS existe dans la version 1 du Customer Support System. Un acteur malveillant peut insérer du code JavaScript via le champ/paramètre 'Address' lors de l'édition/création d'un client. Le code est exécuté à chaque fois que la page '/customer_support/index.php?page=customer_list' est visitée.

Version du produit vulnérable : Customer Support System 1.0
Auteur du CVE : Geraldo Alcântara
Date : 28/11/2023
Confirmé le : 19/12/2023
CVE : CVE-2023-49977
Testé sur : Windows

Étapes pour reproduire :

1. Connectez-vous à l'application.
2. Naviguez vers '/customer_support/index.php?page=customer_list' pour modifier un client existant ou '/customer_support/index.php?page=new_customer' pour créer un nouveau client.
3. Créez ou modifiez un client et insérez la charge utile malveillante dans le champ/paramètre 'Address'.
4. Charge utile :

</dt></b><script>alert(document.domain)</script>

Découvreur(s)/Crédits :
Geraldo Alcântara