CVE-2021-42662

CVE-2021-42662 - 온라인 이벤트 예약 및 예약 시스템 버전 2.3.0의 저장형 크로스 사이트 스크립팅(Stored XSS) 취약점

기술 설명:

이벤트 관리 소프트웨어 버전 2.3.0에는 저장형 XSS 취약점이 존재합니다. 공격자는 이 취약점을 악용하여 웹 서버 사용자를 대신해 자바스크립트를 실행할 수 있으며, 이는 쿠키 탈취, 디페이스 등으로 이어질 수 있습니다.

영향받는 구성 요소 -

취약한 페이지 - HOLY

취약한 매개변수 - "reason"

익스플로잇 단계:

1. http://localhost/event-management/views/?v=HOLY로 이동합니다.
2. "reason" 매개변수에 페이로드를 삽입합니다.
3. "Add holiday"를 클릭합니다.

개념 증명(PoC) -

다음 페이로드를 사용하면 자바스크립트 코드를 실행할 수 있습니다 -

<script>alert("This is an XSS")</alert>

참고 자료 -

• https://www.exploit-db.com/exploits/50450

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42662