rashidkhanpathan/cve-2022-43117Proof-of-concept exploit per CVE-2022-43117, una vulnerabilità XSS persistente in Sourcecodester Password Storage Application 1.0, che dimostra l'iniezione di JavaScript tramite i campi del profilo utente.
[Descrizione suggerita] L'applicazione Password Storage Application in PHP/OOP e MySQL 1.0 di Sourcecodester è stata scoperta contenere multiple vulnerabilità di cross-site scripting (XSS) tramite i parametri Name, Username, Description e Site Feature.
[Informazioni aggiuntive] Prova di concetto: https://drive.google.com/file/d/1ZmAuKMVzUpL8pt5KXQJk8IyPECoVP9xw/view?usp=sharing Homepage del vendor: https://www.sourcecodester.com/php/15726/password-storage-application-phpoop-and-mysql-free-source-code.html Link del software: https://www.sourcecodester.com/sites/default/files/download/oretnom23/psa_php.zip
[Tipo di vulnerabilità] Cross Site Scripting (XSS)
[Vendor del prodotto] Sourcecodester
[Base del codice del prodotto interessato] Password Storage Application in PHP/OOP e MySQL - 1.0
[Componente interessato] Codice sorgente
[Tipo di attacco] Remoto
[Impatto esecuzione codice] vero
[Vettori di attacco] Per sfruttare questa vulnerabilità, l'attaccante deve prima creare il suo account su http://localhost/psa_php/owner_registration.php, poi accedere con la password creata. Dopo l'accesso, l'attaccante deve iniettare codice JavaScript arbitrario nei campi Name, Username, Description e Site, e quindi cliccare su save. Una volta cliccato sul pulsante save, il Payload JavaScript arbitrario verrà eseguito.
[Riferimento] https://www.sourcecodester.com/php/15726/password-storage-application-phpoop-and-mysql-free-source-code.html https://drive.google.com/file/d/1ZmAuKMVzUpL8pt5KXQJk8IyPECoVP9xw/view?usp=sharing
[Scopritore] RashidKhan Pathan
