CVE-2021-46074

익스플로잇 제목: Vehicle Service Management System - 'Settings' 저장형 크로스 사이트 스크립팅(XSS)

익스플로잇 작성자: SANU P.L

CVE: CVE-2021-46074

CVSS: 4.8 MEDIUM

참고 자료:

• https://www.plsanu.com/vehicle-service-management-system-settings-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46074
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46074

설명:

Sourcecodester Vehicle Service Management System 1.0의 로그인 패널에 있는 설정(Settings) 섹션을 통해 저장형 크로스 사이트 스크립팅(XSS) 취약점이 발생합니다.

익스플로잇:

1. 관리자 패널에 로그인합니다. http://localhost/vehicle_service/admin
2. 설정(Settings) 섹션으로 이동합니다. http://localhost/vehicle_service/admin/?page=system_info
3. System Name, System Short Name 및 About Us 입력 필드에 아래의 페이로드를 주입합니다.

페이로드:

 "><script>alert(document.cookie)</script>

4. 업데이트 버튼을 클릭합니다.
5. 악성 JavaScript 코드가 실행됩니다.

영향:

공격자는 설정(Settings) 섹션에서 악성 JavaScript 코드를 주입할 수 있습니다.

완화 방법:

애플리케이션 전체의 모든 입력 필드를 삭제(sanitize)할 것을 권장합니다.