CVE-2021-46073

Titolo Exploit: Vehicle Service Management System - 'User List' Cross Site Scripting (XSS) persistente

Autore Exploit: SANU P.L

CVE: CVE-2021-46073

CVSS: 4.8 MEDIUM

Riferimenti:

• https://www.plsanu.com/vehicle-service-management-system-user-list-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46073
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46073

Descrizione:

Una vulnerabilità di Cross Site Scripting (XSS) persistente esiste in Sourcecodester Vehicle Service Management System 1.0 tramite la sezione User List nel pannello di login.

Exploit:

1. Accedi al pannello di amministrazione http://localhost/vehicle_service/admin
2. Vai alla sezione User List e clicca sul pulsante Create New.
3. Inietta il payload qui sotto nel campo di input First Name & Last Name.

Payload:

 "><script>alert(document.cookie)</script>

4. Clicca sul pulsante Save.
5. Il codice JavaScript dannoso viene attivato.

Impatto:

Un attaccante può iniettare codice JavaScript dannoso nella sezione User List.

Mitigazione:

Si raccomanda di sanitizzare tutti i campi di input nell'intera applicazione.