CVE-2021-42663

CVE-2021-42662 - オンラインイベント予約システムバージョン2.3.0におけるHTMLインジェクション脆弱性。

技術的説明:

オンラインイベント予約システムバージョン2.3.0にHTMLインジェクション脆弱性が存在します。攻撃者はこの脆弱性を悪用して、Webサイトの表示内容を変更することができます。ターゲットユーザーが特定のリンクをクリックすると、攻撃者が選んだHTMLコードの内容が表示されます。

影響を受けるコンポーネント -

脆弱なページ - index.php

脆弱なパラメータ - "msg"

悪用手順:

1. http://localhost/event-management/views/index.php にアクセスする
2. URLを通じて"msg"パラメータにペイロードを挿入する
3. 被害者に完全なリンクを送信する

概念実証 (PoC) -

以下のペイロードを使用すると、HTMLコードを実行できます -

<h1>This is an HTML injection</h1>

参考文献 -

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42663

https://nvd.nist.gov/vuln/detail/CVE-2021-42663

発見者 -

Alon Leviev(0xDeku)、2021年10月22日。