CVE-2021-42663

CVE-2021-42662 - Vulnerabilità di HTML injection nel sistema di prenotazione e prenotazione di eventi online versione 2.3.0.

Descrizione tecnica:

Esiste una vulnerabilità di HTML injection nel sistema di prenotazione e prenotazione di eventi online versione 2.3.0. Un attaccante può sfruttare questa vulnerabilità per modificare la visibilità del sito web. Una volta che l'utente target fa clic su un dato link, visualizzerà il contenuto del codice HTML scelto dall'attaccante.

Componenti interessati -

Pagina vulnerabile - index.php

Parametro vulnerabile - "msg"

Passaggi per sfruttare la vulnerabilità:

1. Navigare su http://localhost/event-management/views/index.php
2. Inserire il payload nel parametro "msg" tramite l'URL
3. Inviare il link completo alla vittima

Proof of concept (Poc) -

Il seguente payload ti permetterà di eseguire il codice HTML -

<h1>This is an HTML injection</h1>

Riferimenti -

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42663

https://nvd.nist.gov/vuln/detail/CVE-2021-42663

Scoperto da -

Alon Leviev (0xDeku), 22 ottobre 2021.