CVE-2023-49977

Customer Support System 1.0 - 「customer_list」ページの「Address」フィールド/パラメータにおけるクロスサイトスクリプティング (XSS) の脆弱性

説明: Customer Support System 1.0 は保存型XSSに対して脆弱です。XSS脆弱性は Customer Support System のバージョン1に存在します。悪意のある攻撃者は、顧客を編集/作成する際に「Address」フィールド/パラメータを通じてJavaScriptコードを挿入できます。コードは、ページ "/customer_support/index.php?page=customer_list" が訪問されるたびに実行されます。

影響を受ける製品バージョン: Customer Support System 1.0
CVE 作成者: Geraldo Alcântara
日付: 28/11/2023
確認日: 19/12/2023
CVE: CVE-2023-49977
テスト環境: Windows

再現手順:

1. アプリケーションにログインします。
2. 既存の顧客を編集するには "/customer_support/index.php?page=customer_list" に移動するか、新しい顧客を作成するには "/customer_support/index.php?page=new_customer" に移動します。
3. 顧客を作成または編集し、「Address」フィールド/パラメータに悪意のあるペイロードを挿入します。
4. ペイロード:

</dt></b><script>alert(document.domain)</script>

発見者/クレジット:
Geraldo Alcântara