CVE-2024-51030

विवरण

Sourcecodester Cab Management System 1.0 के manage_account.php में एक क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता दूरस्थ प्रमाणित उपयोगकर्ताओं को "First Name," "Middle Name," और "Last Name" फ़ील्ड के माध्यम से मनमाना वेब स्क्रिप्ट इंजेक्ट करने की अनुमति देती है।

भेद्यता प्रकार

क्रॉस-साइट स्क्रिप्टिंग (XSS)

उत्पाद का विक्रेता

Sourcecodester

प्रभावित उत्पाद कोड बेस:

https://www.sourcecodester.com/php/15180/cab-management-system-phpoop-free-source-code.html - 1.0

प्रभावित घटक:

Sourcecodester Cab Management System 1.0 में क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता दूरस्थ हमलावरों को manage_account.php पृष्ठ पर firstname, middlename एवं lastname इनपुट फ़ील्ड के माध्यम से मनमाना कोड चलाने की अनुमति देती है।

हमले के वेक्टर:

1. एप्लिकेशन को स्थानीय रूप से सेट करें और नमूना क्लाइंट एक्सेस के लिए दिए गए क्रेडेंशियल्स के साथ लॉग इन करें।
2. प्रोफ़ाइल अवतार पर क्लिक करके "Manage Account" अनुभाग पर जाएँ।
3. पेलोड <svg onload=alert(document.cookie)> को "First Name", "Middle Name", और "Last Name" फ़ील्ड में इंजेक्ट करें। शेष फ़ॉर्म विवरण पूरा करें और "Update Details" बटन पर क्लिक करें।
4. "Account Details have been updated successfully" संदेश प्राप्त होने पर, एडमिन पोर्टल में लॉग इन करें। "Registered Clients" पृष्ठ तक पहुँचने पर, एडमिन की कुकी प्रदर्शित करने वाला एक पॉप-अप दिखाई देगा, जो एक सफल संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) हमले की पुष्टि करता है।

संदर्भ:

1. https://www.sourcecodester.com
2. https://www.sourcecodester.com/php/15180/cab-management-system-phpoop-free-source-code.html
3. https://portswigger.net/web-security/cross-site-scripting