CVE-2023-49974

Customer Support System 1.0 - Vulnerabilità Cross-Site Scripting (XSS) nel campo/parametro "contact" sulla pagina "customer_list"

Descrizione: Customer Support System 1.0 è vulnerabile a XSS persistente. Una vulnerabilità XSS è presente nella versione 1 del Customer Support System. Un attore malintenzionato può inserire codice JavaScript attraverso il campo/parametro "contact" durante la modifica/creazione di un cliente. Il codice viene eseguito ogni volta che si visita la pagina "/customer_support/index.php?page=customer_list".

Versione del prodotto vulnerabile: Customer Support System 1.0
Autore CVE: Geraldo Alcântara
Data: 28/11/2023
Confermato il: 19/12/2023
CVE: CVE-2023-49974
Testato su: Windows

Passaggi per riprodurre:

1. Accedi all'applicazione.
2. Vai a "/customer_support/index.php?page=customer_list" per modificare un cliente esistente o a "/customer_support/index.php?page=new_customer" per crearne uno nuovo.
3. Crea o modifica un cliente e inserisci il payload dannoso nel campo/parametro "contact".
4. Payload:

</dt></b><script>alert(document.domain)</script>