CVE-2023-49977

Customer Support System 1.0 - Vulnerabilità Cross-Site Scripting (XSS) nel campo/parametro "Address" nella pagina "customer_list"

Descrizione: Customer Support System 1.0 è vulnerabile a XSS persistente. Una vulnerabilità XSS è presente nella versione 1 del Customer Support System. Un attore malintenzionato può inserire codice JavaScript tramite il campo/parametro "Address" quando modifica/crea un cliente. Il codice viene eseguito ogni volta che viene visitata la pagina "/customer_support/index.php?page=customer_list".

Versione del prodotto vulnerabile: Customer Support System 1.0
Autore CVE: Geraldo Alcântara
Data: 28/11/2023
Confermato il: 19/12/2023
CVE: CVE-2023-49977
Testato su: Windows

Passaggi per riprodurre la vulnerabilità:

1. Accedere all'applicazione.
2. Navigare su "/customer_support/index.php?page=customer_list" per modificare un cliente esistente oppure su "/customer_support/index.php?page=new_customer" per crearne uno nuovo.
3. Creare o modificare un cliente e inserire il payload dannoso nel campo/parametro "Address".
4. Payload:

</dt></b><script>alert(document.domain)</script>

Scopritore(i)/Crediti:
Geraldo Alcântara