CVE-2021-46072

Exploit Title: Vehicle Service Management System - 'Service List' Stored Cross Site Scripting (XSS)

Exploit Author: SANU P.L

CVE: CVE-2021-46072

CVSS: 4.8 MEDIUM

References:

• https://www.plsanu.com/vehicle-service-management-system-service-list-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46072
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46072

विवरण:

वाहन सेवा प्रबंधन प्रणाली 1.0 में लॉगिन पैनल के सेवा सूची अनुभाग में एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता मौजूद है।

शोषण:

1. एडमिन पैनल http://localhost/vehicle_service/admin में लॉगिन करें।
2. सेवा सूची अनुभाग पर जाएं और नया बनाएं बटन पर क्लिक करें।
3. सेवा नाम और विवरण इनपुट फ़ील्ड में नीचे दिए गए पेलोड को इंजेक्ट करें।

पेलोड:

 "><script>alert(document.cookie)</script>

4. सेव बटन पर क्लिक करें।
5. दुर्भावनापूर्ण जावास्क्रिप्ट कोड ट्रिगर हो जाता है।

प्रभाव:

एक हमलावर सेवा सूची अनुभाग में दुर्भावनापूर्ण जावास्क्रिप्ट कोड इंजेक्ट कर सकता है।

शमन:

पूरे एप्लिकेशन में सभी इनपुट फ़ील्ड को सैनिटाइज़ करने की अनुशंसा की जाती है।