CVE-2023-51802

Simple Student Attendance System v.1.0 - Vulnerabilidades de Cross-site scripting (XSS) em attendance_report

Descrição: > Vulnerabilidade de Cross Site Scripting no Simple Student Attendance System v.1.0 permite que um atacante remoto execute código arbitrário através de um payload malicioso nos parâmetros "page" ou "class_month" no componente attendance_report.

Versão do Produto Vulnerável: Simple Student Attendance System v.1.0
Autor do CVE: Geraldo Alcântara
Data: 28/11/2023
Confirmado em: 10/01/2024
CVE: CVE-2023-51802
Link do CVE: https://www.cve.org/CVERecord?id=CVE-2023-51802
Link da NVD: https://nvd.nist.gov/vuln/detail/CVE-2023-51802
Link da Tenable: https://www.tenable.com/cve/CVE-2023-51802
Testado em: Windows

Passos para reproduzir:

Para explorar esta vulnerabilidade, um atacante precisa acessar a página '/php-attendance/attendance_report'. Durante uma pesquisa, o atacante pode manipular os parâmetros vulneráveis passados pela URL com um payload malicioso.
Componentes Afetados:

attendance_report - parâmetros page e class_month

Solicitação:

Payload:page=attendance_report&class_id=1&class_month=jgarv%22%3e%3cscript%3ealert(1)%3c%2fscript%3ehrldm

Descobridor(es)/Créditos:
Geraldo Alcântara