g-rubert/cve-2020-9460Доказательство концепции для уязвимости хранимого межсайтового скриптинга (XSS) в Octech Oempro 4.7–4.11 через параметр CampaignName в Campaign.Create.
██╗ ██╗███████╗███████╗
╚██╗██╔╝██╔════╝██╔════╝
╚███╔╝ ███████╗███████╗
██╔██╗ ╚════██║╚════██║
██╔╝ ██╗███████║███████║
╚═╝ ╚═╝╚══════╝╚══════╝
Межсайтовый скриптинг - Oempro
Octech Oempro 4.7 — 4.11 позволяют XSS аутентифицированному пользователю. Параметр CampaignName в Campaign.Create уязвим.
Команда:Campaign.Create
Параметр запроса:CampaignName
Версия: Oempro v4.7 <= v4.11
Исследователь: Guilherme Rubert
Полезная нагрузка:
"><marquee/onstart=alert("XSS")>
Ссылки:
https://guilhermerubert.com/blog/cve-2020-9460/
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-9460
https://nvd.nist.gov/vuln/detail/CVE-2020-9460
https://www.octeth.com/