CVE-2023-46015-कोड-प्रोजेक्ट्स-ब्लड-बैंक-1.0-Reflected-Cross-Site-Scripting-भेद्यता

• शोषण लेखक: ersinerenler

विक्रेता होमपेज

• https://code-projects.org/blood-bank-in-php-with-source-code

सॉफ्टवेयर लिंक

• https://download-media.code-projects.org/2020/11/Blood_Bank_In_PHP_With_Source_code.zip

अवलोकन

• कोड-प्रोजेक्ट्स ब्लड बैंक V1.0, index.php फ़ाइल में 'msg' पैरामीटर के माध्यम से Reflected Cross-Site Scripting (XSS) से संबंधित एक महत्वपूर्ण सुरक्षा भेद्यता के प्रति संवेदनशील है। एप्लिकेशन उपयोगकर्ता-द्वारा प्रदान किए गए डेटा को पर्याप्त रूप से साफ नहीं करता है, जिससे यह स्क्रिप्ट इंजेक्शन हमलों के लिए प्रवण हो जाता है। एक हमलावर इस मुद्दे का शोषण करके अनजान उपयोगकर्ताओं के ब्राउज़र में मनमाना स्क्रिप्ट कोड निष्पादित कर सकता है, जिससे प्रभावित साइट के संदर्भ में उनकी सुरक्षा और गोपनीयता से समझौता हो सकता है।

भेद्यता विवरण

• CVE ID: CVE-2023-46015
• प्रभावित संस्करण: Blood Bank V1.0
• असुरक्षित फ़ाइल: /index.php
• पैरामीटर नाम: msg
• हमले का प्रकार: स्थानीय

संदर्भ:

• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-46015
• https://nvd.nist.gov/vuln/detail/CVE-2023-46015

विवरण

• Code-Projects Blood Bank V1.0 की index.php फ़ाइल में 'msg' पैरामीटर Reflected Cross-Site Scripting (XSS) के प्रति संवेदनशील है। यह भेद्यता उपयोगकर्ता-द्वारा प्रदान किए गए डेटा के अपर्याप्त इनपुट सत्यापन और स्वच्छता के कारण उत्पन्न होती है। एक हमलावर 'msg' पैरामीटर में दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करके इस कमजोरी का शोषण कर सकता है, जो निष्पादित होने पर प्रभावित साइट के संदर्भ में उपयोगकर्ता के ब्राउज़र से समझौता कर सकता है।

Proof of Concept (PoC) :

• पेलोड: <div><svg/onload=alert(document.domain)>
• http://localhost/bloodbank/index.php?msg=<div><svg/onload=alert(document.domain)>