CVE-2021-46068

Titolo dell'exploit: Vehicle Service Management System - Cross Site Scripting (XSS) Memorizzato in 'MyAccount'

Autore dell'exploit: SANU P.L

CVE: CVE-2021-46068

CVSS: 4.8 MEDIUM

Riferimenti:

• https://www.plsanu.com/vehicle-service-management-system-myaccount-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46068
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46068

Descrizione:

Esiste una vulnerabilità di Cross Site Scripting (XSS) Memorizzato in Vehicle Service Management System 1.0 tramite la sezione My Account nel pannello di login.

Exploit:

1. Accedere al pannello di amministrazione http://localhost/vehicle_service/admin
2. Navigare alla sezione My Account http://localhost/vehicle_service/admin/?page=user
3. Iniettare il payload sottostante nel campo di input First Name e Last Name.

Payload:

"><script>alert(document.cookie)</script>

4. Fare clic sul pulsante di aggiornamento.
5. Il codice JavaScript dannoso viene attivato.

Impatto:

Un attaccante può iniettare codice JavaScript dannoso nella sezione My Account.

Mitigazione:

Si consiglia di sanificare tutti i campi di input dell'intera applicazione.