CVE-2021-42664

CVE-2021-42664 - Engineers 온라인 포털 시스템의 저장형 크로스사이트 스크립팅(Stored XSS) 취약점.

기술 설명:

Engineers 온라인 포털 시스템에 저장형 XSS 취약점이 존재합니다. 공격자는 이 취약점을 악용하여 웹 서버 사용자를 대신해 자바스크립트를 실행할 수 있으며, 이는 쿠키 탈취, 변조 등으로 이어질 수 있습니다.

영향을 받는 구성 요소 -

취약 페이지 - add_quiz.php

취약 매개변수 - "quiz_title", "description"

익스플로잇 단계:

1. http://localhost/nia_munoz_monitoring_system/add_quiz.php 로 이동
2. "quiz_title" 매개변수 또는 "description" 매개변수에 페이로드 삽입
3. 저장(Save) 클릭

개념 증명(PoC) -

다음 페이로드는 자바스크립트 코드를 실행할 수 있게 합니다.

<script>alert("This is an XSS")</script>

참조 -

https://www.exploit-db.com/exploits/50451

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42664