CVE-2021-46073

Titre de l'exploit: Vehicle Service Management System - Cross Site Scripting (XSS) stocké dans la 'Liste des utilisateurs'

Auteur de l'exploit: SANU P.L

CVE: CVE-2021-46073

CVSS: 4.8 MEDIUM

Références:

• https://www.plsanu.com/vehicle-service-management-system-user-list-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46073
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46073

Description:

Une vulnérabilité de Cross Site Scripting (XSS) stocké existe dans Sourcecodester Vehicle Service Management System 1.0 via la section Liste des utilisateurs du panneau de connexion.

Exploit:

1. Connectez-vous au panneau d'administration http://localhost/vehicle_service/admin
2. Accédez à la section Liste des utilisateurs et cliquez sur le bouton Create New.
3. Injectez le payload ci-dessous dans les champs de saisie Prénom et Nom.

Payload:

 "><script>alert(document.cookie)</script>

4. Cliquez sur le bouton Save.
5. Le code JavaScript malveillant est déclenché.

Impact:

Un attaquant peut injecter du code JavaScript malveillant dans la section Liste des utilisateurs.

Mitigation:

Il est recommandé d'assainir tous les champs de saisie de l'application.