CVE-2021-46072

Titolo Exploit: Vehicle Service Management System - 'Service List' Stored Cross Site Scripting (XSS)

Autore Exploit: SANU P.L

CVE: CVE-2021-46072

CVSS: 4.8 MEDIUM

Riferimenti:

• https://www.plsanu.com/vehicle-service-management-system-service-list-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46072
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46072

Descrizione:

Una vulnerabilità di Stored Cross Site Scripting (XSS) è presente in Vehicle Service Management System 1.0 tramite la sezione Service List nel pannello di login.

Exploit:

1. Accedi al pannello di amministrazione http://localhost/vehicle_service/admin
2. Vai alla sezione Service List e clicca sul pulsante Create New.
3. Inietta il payload sottostante nel campo di input Service Name & Description.

Payload:

 "><script>alert(document.cookie)</script>

4. Clicca sul pulsante Save.
5. Viene attivato il codice JavaScript dannoso.

Impatto:

Un attaccante può iniettare codice JavaScript dannoso nella sezione Service List.

Mitigazione:

Si consiglia di sanitizzare tutti i campi di input nell'intera applicazione.