CVE-2023-46019-Code-Projects-Blood-Bank-1.0-Reflected-Cross-Site-Scripting-Vulnerability

• 익스플로잇 작성자: ersinerenler

공급업체 홈페이지

• https://code-projects.org/blood-bank-in-php-with-source-code

소프트웨어 링크

• https://download-media.code-projects.org/2020/11/Blood_Bank_In_PHP_With_Source_code.zip

개요

• Code-Projects Blood Bank V1.0은 'abs.php' 파일의 'error' 매개변수를 통한 반사형 교차 사이트 스크립팅(XSS) 취약점에 영향을 받습니다. 애플리케이션이 사용자 입력 데이터를 적절히 위생 처리하지 않아 스크립트 주입 공격에 취약합니다. 공격자는 이 문제를 악용하여 의심하지 않는 사용자의 브라우저에서 임의의 스크립트 코드를 실행할 수 있으며, 이로 인해 영향을 받는 사이트 내에서 사용자의 보안과 개인정보가 손상될 수 있습니다.

취약점 세부 정보

• CVE ID: CVE-2023-46019
• 영향을 받는 버전: Blood Bank V1.0
• 취약한 파일: /abs.php
• 매개변수 이름: error
• 공격 유형: 로컬

참고 자료:

• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-46019
• https://nvd.nist.gov/vuln/detail/CVE-2023-46019

설명

• Code-Projects Blood Bank V1.0의 abs.php 파일에 있는 'error' 매개변수는 반사형 교차 사이트 스크립팅(XSS)에 취약합니다. 이 취약점은 사용자 입력 데이터의 불충분한 입력 검증 및 위생 처리로 인해 발생합니다. 공격자는 이 약점을 악용하여 'error' 매개변수에 악성 스크립트를 주입할 수 있으며, 실행될 경우 영향을 받는 사이트의 맥락에서 사용자의 브라우저를 손상시킬 수 있습니다.

개념 증명(PoC) :

• 페이로드: "><svg/onload=alert(document.domain)>
• http://localhost/bloodbank/abs.php?error="><svg/onload=alert(document.domain)>