CVE-2023-49976

Customer Support System 1.0 - (XSS) क्रॉस-साइट स्क्रिप्टिंग भेद्यता "subject" में "ticket_list" पर

विवरण: Customer Support System 1.0 संग्रहीत XSS के लिए संवेदनशील है। Customer Support System के संस्करण 1 में एक XSS भेद्यता मौजूद है। एक दुर्भावनापूर्ण अभिनेता टिकट संपादित/बनाते समय "subject" फ़ील्ड के माध्यम से JavaScript कोड सम्मिलित कर सकता है। जब भी पृष्ठ "/customer_support/index.php?page=ticket_list" पर जाया जाता है, कोड निष्पादित होता है।

भेद्य उत्पाद संस्करण: Customer Support System 1.0
CVE लेखक: Geraldo Alcântara
दिनांक: 28/11/2023
पुष्टि की तिथि: 19/12/2023
CVE: CVE-2023-49976
परीक्षण किया गया: Windows

पुनरुत्पादन के चरण:

1. एप्लिकेशन में लॉग इन करें।
2. टिकट निर्माण/संपादन पृष्ठ पर जाएं।
3. एक टिकट बनाएं/संपादित करें और दुर्भावनापूर्ण पेलोड को "subject" फ़ील्ड/पैरामीटर में डालें।
4. पेलोड:

<dt/><b/><script>alert(document.domain)</script>

टिकट को सहेजना और पेलोड इंजेक्ट करना।

टिकट सूची पृष्ठ पर जाने पर, हमले का सफल निष्पादन।