CVE-2021-46068

Titre de l'exploit: Vehicle Service Management System - 'MyAccount' Cross-Site Scripting stocké (XSS)

Auteur de l'exploit: SANU P.L

CVE: CVE-2021-46068

CVSS: 4.8 MOYEN

Références:

• https://www.plsanu.com/vehicle-service-management-system-myaccount-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46068
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46068

Description:

Une vulnérabilité de Cross-Site Scripting stocké (XSS) existe dans Vehicle Service Management System 1.0 via la section My Account du panneau de connexion.

Exploit:

1. Connectez-vous au panneau d'administration http://localhost/vehicle_service/admin
2. Accédez à la section My Account http://localhost/vehicle_service/admin/?page=user
3. Injectez le payload ci-dessous dans le champ de saisie First Name & Last Name.

Payload:

"><script>alert(document.cookie)</script>

4. Cliquez sur le bouton Update.
5. Le code JavaScript malveillant est déclenché.

Impact:

Un attaquant peut injecter du code JavaScript malveillant dans la section My Account.

Atténuation:

Il est recommandé d'assainir tous les champs de saisie de l'application.