CVE-2021-46068

Titre de l'exploit: Vehicle Service Management System - 'MyAccount' Cross-Site Scripting stocké (XSS)

Auteur de l'exploit: SANU P.L

CVE: CVE-2021-46068

CVSS: 4.8 MOYEN

Références:

• https://www.plsanu.com/vehicle-service-management-system-myaccount-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46068
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46068

Description:

Une vulnérabilité de Cross-Site Scripting stocké (XSS) existe dans Vehicle Service Management System 1.0 via la section Mon Compte dans le panneau de connexion.

Exploit:

1. Connectez-vous au panneau d'administration http://localhost/vehicle_service/admin
2. Allez à la section Mon Compte http://localhost/vehicle_service/admin/?page=user
3. Injectez le payload ci-dessous dans le champ de saisie Prénom et Nom.

Payload:

"><script>alert(document.cookie)</script>

4. Cliquez sur le bouton de mise à jour.
5. Code JavaScript malveillant déclenché.

Impact:

Un attaquant peut injecter du code JavaScript malveillant dans la section Mon Compte.

Atténuation:

Il est recommandé de nettoyer tous les champs de saisie de l'application.