CVE-2021-46074

エクスプロイトのタイトル: Vehicle Service Management System - '設定' 保存型クロスサイトスクリプティング (XSS)

エクスプロイト作成者: SANU P.L

CVE: CVE-2021-46074

CVSS: 4.8 MEDIUM

参考文献:

• https://www.plsanu.com/vehicle-service-management-system-settings-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46074
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46074

説明:

Sourcecodester Vehicle Service Management System 1.0のログインパネルの設定セクションに、保存型クロスサイトスクリプティング（XSS）の脆弱性が存在します。

エクスプロイト:

1. 管理パネル http://localhost/vehicle_service/admin にログインする
2. 設定セクション http://localhost/vehicle_service/admin/?page=system_info に移動する
3. 下記のペイロードをSystem Name、System Short Name、About Usの入力フィールドに注入する。

ペイロード:

 "><script>alert(document.cookie)</script>

4. 更新ボタンをクリックする。
5. 悪意のあるJavaScriptコードが実行される。

影響:

攻撃者は設定セクションに悪意のあるJavaScriptコードを注入することができます。

軽減策:

アプリケーション全体のすべての入力フィールドをサニタイズすることを推奨します。