CVE-2023-49976

Customer Support System 1.0 - Vulnerabilità di Cross-Site Scripting (XSS) nel campo "subject" in "ticket_list"

Descrizione: Customer Support System 1.0 è vulnerabile a XSS memorizzato. Una vulnerabilità XSS esiste nella versione 1 del Customer Support System. Un attore malintenzionato può inserire codice JavaScript attraverso il campo "subject" durante la modifica/creazione di un ticket. Il codice viene eseguito ogni volta che viene visitata la pagina "/customer_support/index.php?page=ticket_list".

Versione del prodotto vulnerabile: Customer Support System 1.0
Autore CVE: Geraldo Alcântara
Data: 28/11/2023
Confermato il: 19/12/2023
CVE: CVE-2023-49976
Testato su: Windows

Passaggi per la riproduzione:

1. Accedi all'applicazione.
2. Visita la pagina di creazione/modifica del ticket.
3. Crea/Modifica un ticket e inserisci il payload dannoso nel campo/parametro "subject".
4. Payload:

<dt/><b/><script>alert(document.domain)</script>

Salvataggio del ticket e iniezione del payload.