CVE-2023-46019-Code-Projects-Blood-Bank-1.0-Reflected-Cross-Site-Scripting-Vulnerability

• एक्सप्लॉइट लेखक: ersinerenler

विक्रेता होमपेज

• https://code-projects.org/blood-bank-in-php-with-source-code

सॉफ़्टवेयर लिंक

• https://download-media.code-projects.org/2020/11/Blood_Bank_In_PHP_With_Source_code.zip

अवलोकन

• Code-Projects Blood Bank V1.0, abs.php फ़ाइल में 'error' पैरामीटर के माध्यम से रिफ्लेक्टेड क्रॉस-साइट स्क्रिप्टिंग (XSS) से संबंधित एक महत्वपूर्ण सुरक्षा भेद्यता के प्रति संवेदनशील है। एप्लिकेशन उपयोगकर्ता-आपूर्ति किए गए डेटा को पर्याप्त रूप से सैनिटाइज़ करने में विफल रहता है, जिससे यह स्क्रिप्ट इंजेक्शन हमलों के प्रति संवेदनशील हो जाता है। एक हमलावर इस समस्या का फायदा उठाकर अनजान उपयोगकर्ताओं के ब्राउज़र में मनमाना स्क्रिप्ट कोड निष्पादित कर सकता है, जिससे प्रभावित साइट के भीतर उनकी सुरक्षा और गोपनीयता से समझौता हो सकता है।

भेद्यता विवरण

• CVE ID: CVE-2023-46019
• प्रभावित संस्करण: Blood Bank V1.0
• भेद्य फ़ाइल: /abs.php
• पैरामीटर नाम: error
• हमले का प्रकार: local

संदर्भ:

• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-46019
• https://nvd.nist.gov/vuln/detail/CVE-2023-46019

विवरण

• Code-Projects Blood Bank V1.0 की abs.php फ़ाइल में 'error' पैरामीटर रिफ्लेक्टेड क्रॉस-साइट स्क्रिप्टिंग (XSS) के प्रति संवेदनशील है। यह भेद्यता उपयोगकर्ता-आपूर्ति किए गए डेटा के अपर्याप्त इनपुट सत्यापन और सैनिटाइज़ेशन के कारण उत्पन्न होती है। एक हमलावर 'error' पैरामीटर में दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करके इस कमजोरी का फायदा उठा सकता है, जो निष्पादित होने पर प्रभावित साइट के संदर्भ में उपयोगकर्ता के ब्राउज़र से समझौता कर सकती है।

प्रूफ ऑफ कॉन्सेप्ट (PoC) :

• पेलोड: "><svg/onload=alert(document.domain)>
• http://localhost/bloodbank/abs.php?error="><svg/onload=alert(document.domain)>