CVE-2021-42664

CVE-2021-42664 - इंजीनियर्स ऑनलाइन पोर्टल सिस्टम में संग्रहीत क्रॉस-साइट स्क्रिप्टिंग भेद्यता।

तकनीकी विवरण:

इंजीनियर्स ऑनलाइन पोर्टल सिस्टम में एक संग्रहीत XSS भेद्यता मौजूद है। एक हमलावर इस भेद्यता का लाभ उठाकर वेब सर्वर उपयोगकर्ता की ओर से जावास्क्रिप्ट चला सकता है, जिससे कुकी चोरी, विकृति और अधिक हो सकता है।

प्रभावित घटक -

भेद्य पृष्ठ - add_quiz.php

भेद्य पैरामीटर - "quiz_title", "description"

शोषण के चरण:

1. http://localhost/nia_munoz_monitoring_system/add_quiz.php पर जाएं
2. अपना पेलोड "quiz_title" पैरामीटर या "description" पैरामीटर में डालें
3. सेव पर क्लिक करें

प्रूफ ऑफ कॉन्सेप्ट (PoC) -

निम्नलिखित पेलोड आपको जावास्क्रिप्ट कोड चलाने की अनुमति देगा -

<script>alert("This is an XSS")</script>

संदर्भ -

https://www.exploit-db.com/exploits/50451

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42664

https://nvd.nist.gov/vuln/detail/CVE-2021-42664

खोजकर्ता -

Alon Leviev(0xDeku), 22 अक्टूबर, 2021।