CVE-2021-42663

CVE-2021-42662 - Vulnerabilidade de Injeção de HTML no sistema online de reserva e agendamento de eventos versão 2.3.0.

Descrição técnica:

Existe uma vulnerabilidade de injeção de HTML no Sistema Online de Reserva e Agendamento de Eventos versão 2.3.0. Um atacante pode explorar esta vulnerabilidade para alterar a visibilidade do site. Quando o usuário alvo clica em um determinado link, ele exibirá o conteúdo do código HTML escolhido pelo atacante.

Componentes afetados -

Página vulnerável - index.php

Parâmetro vulnerável - "msg"

Passos para explorar:

1. Navegue até http://localhost/event-management/views/index.php
2. Insira seu payload no parâmetro "msg" através da URL
3. Envie o link completo para a vítima

Prova de conceito (PoC) -

O seguinte payload permitirá que você execute o código HTML -

<h1>This is an HTML injection</h1>

Referências -

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42663

https://nvd.nist.gov/vuln/detail/CVE-2021-42663

Descoberto por -

Alon Leviev(0xDeku), 22 de outubro de 2021.