CVE-2023-49974

Customer Support System 1.0 - "customer_list" पृष्ठ पर "contact" फ़ील्ड/पैरामीटर में क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता

विवरण: Customer Support System 1.0 संग्रहीत XSS के प्रति संवेदनशील है। Customer Support System के संस्करण 1 में एक XSS भेद्यता मौजूद है। कोई दुर्भावनापूर्ण अभिनेता किसी ग्राहक को संपादित/बनाते समय "contact" फ़ील्ड/पैरामीटर के माध्यम से JavaScript कोड डाल सकता है। जब भी पृष्ठ "/customer_support/index.php?page=customer_list" देखा जाता है, कोड निष्पादित होता है।

संवेदनशील उत्पाद संस्करण: Customer Support System 1.0
CVE लेखक: Geraldo Alcântara
दिनांक: 28/11/2023
पुष्टि की तिथि: 19/12/2023
CVE: CVE-2023-49974
परीक्षण किया गया: Windows

पुनरुत्पादन के चरण:

1. एप्लिकेशन में लॉग इन करें।
2. किसी मौजूदा ग्राहक को संपादित करने के लिए "/customer_support/index.php?page=customer_list" पर जाएं या नया ग्राहक बनाने के लिए "/customer_support/index.php?page=new_customer" पर जाएं।
3. एक ग्राहक बनाएं या संपादित करें और दुर्भावनापूर्ण पेलोड को "contact" फ़ील्ड/पैरामीटर में डालें।
4. पेलोड:

</dt></b><script>alert(document.domain)</script>

खोजकर्ता/श्रेय:
Geraldo Alcântara