CVE-2021-42664

CVE-2021-42664 - Engineersオンラインポータルシステムにおける格納型クロスサイトスクリプティングの脆弱性。

技術説明:

Engineersオンラインポータルシステムに格納型XSSの脆弱性が存在します。攻撃者はこの脆弱性を悪用して、Webサーバーの利用者に代わってJavaScriptを実行させることができ、Cookieの窃取、改ざんなどにつながる可能性があります。

影響を受けるコンポーネント -

脆弱なページ - add_quiz.php

脆弱なパラメータ - "quiz_title", "description"

悪用手順:

1. http://localhost/nia_munoz_monitoring_system/add_quiz.php にアクセスする
2. "quiz_title"パラメータまたは"description"パラメータにペイロードを挿入する
3. 保存をクリックする

概念実証 (PoC) -

以下のペイロードでJavaScriptコードを実行できます -

<script>alert("This is an XSS")</script>

参考文献 -

https://www.exploit-db.com/exploits/50451

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42664

https://nvd.nist.gov/vuln/detail/CVE-2021-42664