CVE-2021-42662

CVE-2021-42662 - уязвимость межсайтового скриптинга (XSS) с сохранением в системе онлайн-бронирования и резервирования мероприятий версии 2.3.0.

Техническое описание:

Уязвимость XSS с сохранением существует в системе управления мероприятиями версии 2.3.0. Злоумышленник может использовать эту уязвимость для выполнения JavaScript-кода от имени пользователя веб-сервера, что может привести к краже cookie, дефейсу и другим последствиям.

Затронутые компоненты -

Уязвимая страница - HOLY

Уязвимый параметр - "reason"

Шаги эксплуатации:

1. Перейдите по адресу http://localhost/event-management/views/?v=HOLY
2. Вставьте вашу полезную нагрузку в параметр "reason"
3. Нажмите "Добавить праздник"

Доказательство концепции (PoC) -

Следующая полезная нагрузка позволяет выполнить JavaScript-код -

<script>alert("This is an XSS")</alert>

Ссылки -

https://www.exploit-db.com/exploits/50450

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42662

https://nvd.nist.gov/vuln/detail/CVE-2021-42662

Обнаружено -

Alon Leviev(0xDeku), 22 октября 2021 г.