CVE-2023-49977

고객 지원 시스템 1.0 - "customer_list" 페이지의 "Address" 필드/매개변수에서의 교차 사이트 스크립팅(XSS) 취약점

설명: 고객 지원 시스템 1.0은 저장형 XSS에 취약합니다. 고객 지원 시스템 버전 1에 XSS 취약점이 존재합니다. 악의적인 행위자가 고객을 편집/생성할 때 "Address" 필드/매개변수를 통해 JavaScript 코드를 삽입할 수 있습니다. 이 코드는 "/customer_support/index.php?page=customer_list" 페이지에 방문할 때마다 실행됩니다.

취약한 제품 버전: 고객 지원 시스템 1.0
CVE 작성자: Geraldo Alcântara
날짜: 2023년 11월 28일
확인일: 2023년 12월 19일
CVE: CVE-2023-49977
테스트 환경: Windows

재현 단계:

1. 애플리케이션에 로그인합니다.
2. 기존 고객을 편집하려면 "/customer_support/index.php?page=customer_list"로 이동하거나, 새 고객을 생성하려면 "/customer_support/index.php?page=new_customer"로 이동합니다.
3. 고객을 생성하거나 편집하고 악성 페이로드를 "Address" 필드/매개변수에 삽입합니다.
4. 페이로드:

</dt></b><script>alert(document.domain)</script>

발견자(들)/크레딧:
Geraldo Alcântara