CVE-2021-42663

CVE-2021-42662 — уязвимость HTML-инъекции в системе онлайн-бронирования и резервирования мероприятий версии 2.3.0.

Техническое описание:

В системе онлайн-бронирования и резервирования мероприятий версии 2.3.0 существует уязвимость HTML-инъекции. Злоумышленник может использовать эту уязвимость для изменения видимости веб-сайта. При нажатии целевого пользователя на определённую ссылку будет отображаться содержимое HTML-кода, выбранного атакующим.

Затронутые компоненты:

Уязвимая страница — index.php

Уязвимый параметр — "msg"

Шаги эксплуатации:

1. Перейдите на http://localhost/event-management/views/index.php
2. Вставьте свою нагрузку в параметр "msg" через URL
3. Отправьте полную ссылку жертве

Подтверждение концепции (PoC) —

Следующая нагрузка позволяет выполнить HTML-код:

<h1>This is an HTML injection</h1>

Ссылки: