CVE-2023-49974

Customer Support System 1.0 - Cross-Site Scripting (XSS) Vulnerability in "contact" field/parameter on "customer_list" Page

설명: Customer Support System 1.0은 저장형 XSS에 취약합니다. Customer Support System 버전 1에 XSS 취약점이 존재합니다. 악의적인 사용자가 고객을 편집/생성할 때 "contact" 필드/매개변수를 통해 JavaScript 코드를 삽입할 수 있습니다. 이 코드는 "/customer_support/index.php?page=customer_list" 페이지를 방문할 때마다 실행됩니다.

취약한 제품 버전: Customer Support System 1.0
CVE 작성자: Geraldo Alcântara
날짜: 28/11/2023
확인일: 19/12/2023
CVE: CVE-2023-49974
테스트 환경: Windows

재현 단계:

1. 애플리케이션에 로그인합니다.
2. 기존 고객을 편집하려면 "/customer_support/index.php?page=customer_list"로 이동하거나 새 고객을 생성하려면 "/customer_support/index.php?page=new_customer"로 이동합니다.
3. 고객을 생성하거나 편집하고 악성 페이로드를 "contact" 필드/매개변수에 삽입합니다.
4. 페이로드:

</dt></b><script>alert(document.domain)</script>

발견자(들)/크레딧:
Geraldo Alcântara