CVE-2024-51031

Description

Sourcecodester Cab Management System 1.0의 manage_account.php에서 발견된 교차 사이트 스크립팅(XSS) 취약점으로, 인증된 원격 사용자가 "이름", "중간 이름", "성" 필드를 통해 임의의 웹 스크립트를 주입할 수 있습니다.

Vulnerability Type

교차 사이트 스크립팅 (XSS)

Vendor of Product

Sourcecodester

Affected Product Code Base:

https://www.sourcecodester.com/php/15180/cab-management-system-phpoop-free-source-code.html - 1.0

Affected Component:

Sourcecodester Cab Management System 1.0의 교차 사이트 스크립팅(XSS) 취약점으로, 원격 공격자가 manage_account.php 페이지의 firstname, middlename, lastname 입력 필드를 통해 임의 코드를 실행할 수 있습니다.

Attack Vectors:

1. 애플리케이션을 로컬에 설치하고 샘플 클라이언트 접근용으로 제공된 자격 증명으로 로그인합니다.
2. 프로필 아바타를 클릭하여 "계정 관리" 섹션으로 이동합니다.
3. "이름", "중간 이름", "성" 필드에 페이로드 <svg onload=alert(document.cookie)>를 주입합니다. 나머지 양식 정보를 작성하고 "세부 정보 업데이트" 버튼을 클릭합니다.
4. "계정 정보가 성공적으로 업데이트되었습니다"라는 메시지가 표시되면 관리자 포털에 로그인합니다. "등록된 클라이언트" 페이지에 접근하면 관리자 쿠키를 표시하는 팝업이 나타나며, 저장형 교차 사이트 스크립팅(XSS) 공격이 성공했음을 확인할 수 있습니다.

Reference:

1. https://www.sourcecodester.com
2. https://www.sourcecodester.com/php/15180/cab-management-system-phpoop-free-source-code.html
3. https://portswigger.net/web-security/cross-site-scripting