CVE-2021-42662

CVE-2021-42662 - Vulnerabilidade de Cross-Site Scripting Armazenada no sistema online de reserva e agendamento de eventos versão 2.3.0.

Descrição técnica:

Existe uma vulnerabilidade XSS armazenada no software de gerenciamento de eventos versão 2.3.0. Um invasor pode aproveitar essa vulnerabilidade para executar javascript em nome do navegador do servidor web, o que pode levar ao roubo de cookies, desfiguração e muito mais.

Componentes afetados -

Página vulnerável - HOLY

Parâmetro vulnerável - "reason"

Passos para explorar:

1. Navegue para http://localhost/event-management/views/?v=HOLY
2. Insira seu payload no parâmetro "reason"
3. Clique em "Add holiday"

Prova de conceito (PoC) -

O payload a seguir permitirá executar o código javascript -

<script>alert("This is an XSS")</alert>

Referências -