CVE-2021-46068

Exploit Title: Vehicle Service Management System - 'MyAccount' Stored Cross Site Scripting (XSS)

Exploit Author: SANU P.L

CVE: CVE-2021-46068

CVSS: 4.8 MEDIUM

References:

• https://www.plsanu.com/vehicle-service-management-system-myaccount-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46068
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46068

विवरण:

वाहन सेवा प्रबंधन प्रणाली 1.0 में लॉगिन पैनल के माई अकाउंट अनुभाग के माध्यम से एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) कमजोरी मौजूद है।

शोषण:

1. एडमिन पैनल http://localhost/vehicle_service/admin में लॉगिन करें
2. माई अकाउंट अनुभाग http://localhost/vehicle_service/admin/?page=user पर जाएं
3. नीचे दिए गए पेलोड को पहला नाम और अंतिम नाम इनपुट फ़ील्ड में इंजेक्ट करें।

Payload:

"><script>alert(document.cookie)</script>

4. अपडेट बटन पर क्लिक करें।
5. दुर्भावनापूर्ण जावास्क्रिप्ट कोड ट्रिगर हो गया।

प्रभाव:

एक हमलावर माई अकाउंट अनुभाग में दुर्भावनापूर्ण जावास्क्रिप्ट कोड इंजेक्ट करने में सक्षम है।

शमन:

पूरे एप्लिकेशन में सभी इनपुट फ़ील्ड को सैनिटाइज़ करने की सिफारिश की जाती है।