CVE-2021-42663

CVE-2021-42662 - ऑनलाइन इवेंट बुकिंग और आरक्षण प्रणाली संस्करण 2.3.0 में HTML इंजेक्शन भेद्यता।

तकनीकी विवरण:

ऑनलाइन इवेंट बुकिंग और आरक्षण प्रणाली संस्करण 2.3.0 में एक HTML इंजेक्शन भेद्यता मौजूद है। एक हमलावर इस भेद्यता का उपयोग वेबसाइट की दृश्यता को बदलने के लिए कर सकता है। एक बार जब लक्ष्य उपयोगकर्ता दिए गए लिंक पर क्लिक करता है, तो वह हमलावर की पसंद के HTML कोड की सामग्री प्रदर्शित करेगा।

प्रभावित घटक -

कमजोर पृष्ठ - index.php

कमजोर पैरामीटर - "msg"

शोषण के चरण:

1. http://localhost/event-management/views/index.php पर जाएँ
2. URL के माध्यम से "msg" पैरामीटर में अपना पेलोड डालें
3. पीड़ित को पूरा लिंक भेजें

प्रूफ ऑफ कॉन्सेप्ट (PoC) -

निम्नलिखित पेलोड आपको HTML कोड चलाने की अनुमति देगा -

<h1>This is an HTML injection</h1>

संदर्भ -

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42663