CVE-2021-46074

एक्सप्लॉइट शीर्षक: वाहन सेवा प्रबंधन प्रणाली - 'सेटिंग्स' स्टोर्ड क्रॉस साइट स्क्रिप्टिंग (XSS)

एक्सप्लॉइट लेखक: SANU P.L

CVE: CVE-2021-46074

CVSS: 4.8 मध्यम

संदर्भ:

• https://www.plsanu.com/vehicle-service-management-system-settings-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46074
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46074

विवरण:

Sourcecodester वाहन सेवा प्रबंधन प्रणाली 1.0 में लॉगिन पैनल के सेटिंग्स अनुभाग के माध्यम से एक संग्रहीत क्रॉस साइट स्क्रिप्टिंग (XSS) भेद्यता मौजूद है।

एक्सप्लॉइट:

1. एडमिन पैनल में लॉगिन करें http://localhost/vehicle_service/admin
2. सेटिंग्स अनुभाग पर जाएँ http://localhost/vehicle_service/admin/?page=system_info
3. सिस्टम नाम, सिस्टम शॉर्ट नाम और हमारे बारे में (About Us) इनपुट फ़ील्ड में नीचे दिया गया पेलोड इंजेक्ट करें।

पेलोड:

 "><script>alert(document.cookie)</script>

4. अपडेट बटन पर क्लिक करें।
5. दुर्भावनापूर्ण जावास्क्रिप्ट कोड ट्रिगर हो जाता है।

प्रभाव:

एक हमलावर सेटिंग्स अनुभाग में दुर्भावनापूर्ण जावास्क्रिप्ट कोड इंजेक्ट करने में सक्षम होता है।

शमन:

पूरे एप्लिकेशन में सभी इनपुट फ़ील्ड को सैनिटाइज़ करने की अनुशंसा की जाती है।