CVE-2022-23861 : Multiples Cross-Site Scripting stockés dans YSoft SafeQ

Plusieurs champs de l'application web YSoft SafeQ peuvent être utilisés pour injecter des entrées malveillantes qui, en raison d'un manque de désinfection des sorties, entraînent l'exécution de code JS arbitraire. Ces champs peuvent être exploités pour mener des attaques XSS sur les utilisateurs légitimes accédant à l'interface web SafeQ.

Collaboration :

Cette vulnérabilité a été découverte en collaboration avec Marian-Razvan Ilisanu.

Divulgation NVD :

La divulgation de cette vulnérabilité peut être trouvée ici.

Exigences :

Cette vulnérabilité nécessite :

• Des identifiants utilisateur valides afin d'accéder aux champs vulnérables et de les modifier

Preuve de concept :

Plus de détails et le processus d'exploitation peuvent être trouvés dans ce PDF.