CVE-2021-42664

CVE-2021-42664 - Vulnerabilità di Cross-Site Scripting memorizzata nel sistema del portale online per ingegneri.

Descrizione tecnica:

Esiste una vulnerabilità XSS memorizzata nel sistema del portale online per ingegneri. Un attaccante può sfruttare questa vulnerabilità per eseguire JavaScript per conto del navigatore del server web, il che può portare al furto di cookie, defacement e altro.

Componenti interessati:

Pagina vulnerabile - add_quiz.php

Parametri vulnerabili - "quiz_title", "description"

Passaggi per sfruttare la vulnerabilità:

1. Navigare su http://localhost/nia_munoz_monitoring_system/add_quiz.php
2. Inserire il payload nel parametro "quiz_title" o nel parametro "description"
3. Cliccare su Salva

Prova di concetto (PoC) -

Il seguente payload consente di eseguire il codice JavaScript:

<script>alert("Questa è una XSS")</script>

Riferimenti -

https://www.exploit-db.com/exploits/50451

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42664

https://nvd.nist.gov/vuln/detail/CVE-2021-42664

Scoperto da -

Alon Leviev (0xDeku), 22 ottobre 2021.