CVE-2021-42663

CVE-2021-42662 - 온라인 이벤트 부킹 및 예약 시스템 버전 2.3.0의 HTML 인젝션 취약점.

기술 설명:

온라인 이벤트 부킹 및 예약 시스템 버전 2.3.0에는 HTML 인젝션 취약점이 존재합니다. 공격자는 이 취약점을 악용하여 웹사이트에 표시되는 내용을 변경할 수 있습니다. 대상 사용자가 특정 링크를 클릭하면 공격자가 선택한 HTML 코드의 내용이 표시됩니다.

영향을 받는 구성 요소 -

취약한 페이지 - index.php

취약한 매개변수 - "msg"

악용 단계:

1. http://localhost/event-management/views/index.php 로 이동합니다.
2. URL을 통해 "msg" 매개변수에 페이로드를 삽입합니다.
3. 완성된 링크를 피해자에게 전송합니다.

개념 증명(Poc) -

다음 페이로드를 사용하면 HTML 코드를 실행할 수 있습니다 -

<h1>This is an HTML injection</h1>

참고 자료 -

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42663

https://nvd.nist.gov/vuln/detail/CVE-2021-42663

발견자 -

Alon Leviev(0xDeku), 2021년 10월 22일.