CVE-2021-42662

CVE-2021-42662 - Vulnerabilità di Cross-Site Scripting memorizzato nel sistema di prenotazione e gestione eventi online versione 2.3.0.

Descrizione tecnica:

Una vulnerabilità XSS memorizzato esiste nel software di gestione eventi versione 2.3.0. Un attaccante può sfruttare questa vulnerabilità per eseguire JavaScript per conto degli utenti del server web, portando al furto di cookie, defacement e altro.

Componenti interessati -

Pagina vulnerabile - HOLY

Parametro vulnerabile - "reason"

Passaggi per lo sfruttamento:

1. Navigare a http://localhost/event-management/views/?v=HOLY
2. Inserire il payload nel parametro "reason"
3. Fare clic su "Add holiday"

Prova di concetto (Poc) -

Il seguente payload permetterà di eseguire il codice JavaScript -

<script>alert("This is an XSS")</alert>

Riferimenti -