CVE-2022-45436

Отраженное межсайтовое выполнение сценариев, приводящее к перехвату сеанса в pandorafms <= Package v765 RRR.

> Название эксплойта: Отраженное межсайтовое выполнение сценариев

> Дата: 15/02/2023

> Автор эксплойта: Damodar Naik

> Домашняя страница вендора: https://pandorafms.com/en/

> Ссылка на ПО: https://github.com/pandorafms/pandorafms

> Версия: <= v765 RRR

> Протестировано на: Ubuntu

> ID CVE: CVE-2022-45436

Шаги для воспроизведения

Получите запрос, нажав кнопку справки в «http://localhost:8080/pandora_console/index.php?sec=network&sec2=operation/agentes/pandora_networkmap». (Как показано в POC). Добавьте полезную нагрузку в параметр «b» в запросе. Скопируйте URL с полезной нагрузкой и отправьте его пользователю, вошедшему в систему как администратор. Когда пользователь-администратор попытается посетить вредоносную ссылку, полезная нагрузка будет выполнена. Полезная нагрузка XSS будет выполнена, что может быть использовано для кражи значения cookie администратора и т.д.