CVE-2021-46073

शोषण शीर्षक: Vehicle Service Management System - 'User List' Stored Cross Site Scripting (XSS)

शोषण लेखक: SANU P.L

CVE: CVE-2021-46073

CVSS: 4.8 MEDIUM

संदर्भ:

• https://www.plsanu.com/vehicle-service-management-system-user-list-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46073
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46073

विवरण:

Sourcecodester Vehicle Service Management System 1.0 के लॉगिन पैनल में User List Section के माध्यम से एक Stored Cross Site Scripting (XSS) कमजोरी मौजूद है।

शोषण:

1. एडमिन पैनल http://localhost/vehicle_service/admin में लॉगिन करें
2. User List सेक्शन पर जाएं और Create New बटन पर क्लिक करें।
3. नीचे दिए गए पेलोड को First Name और Last Name इनपुट फील्ड में इंजेक्ट करें।

Payload:

 "><script>alert(document.cookie)</script>

4. Save बटन पर क्लिक करें।
5. दुर्भावनापूर्ण जावास्क्रिप्ट कोड ट्रिगर हो जाता है।

प्रभाव:

एक हमलावर User List Section में दुर्भावनापूर्ण JavaScript कोड इंजेक्ट कर सकता है।

शमन:

एप्लिकेशन में सभी इनपुट फील्ड्स को सैनिटाइज़ करने की अनुशंसा की जाती है।