CVE-2021-46072

エクスプロイトタイトル: Vehicle Service Management System - 'Service List' 格納型クロスサイトスクリプティング (XSS)

エクスプロイト作者: SANU P.L

CVE: CVE-2021-46072

CVSS: 4.8 中

参考情報:

• https://www.plsanu.com/vehicle-service-management-system-service-list-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46072
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46072

説明:

Vehicle Service Management System 1.0 のログインパネルの Service List セクションに、格納型クロスサイトスクリプティング (XSS) の脆弱性が存在します。

エクスプロイト手順:

1. 管理パネル http://localhost/vehicle_service/admin にログインします。
2. Service List セクションに移動し、Create New ボタンをクリックします。
3. 以下のペイロードを Service Name および Description の入力フィールドに注入します。

ペイロード:

 "><script>alert(document.cookie)</script>

4. Save ボタンをクリックします。
5. 悪意のある JavaScript コードが実行されます。

影響:

攻撃者は Service List セクションに悪意のある JavaScript コードを注入できる可能性があります。

緩和策:

アプリケーション全体のすべての入力フィールドをサニタイズすることを推奨します。