CVE-2023-49977

Customer Support System 1.0 - Уязвимость межсайтового скриптинга (XSS) в поле/параметре «Address» на странице «customer_list»

Описание: Customer Support System 1.0 подвержен сохраненному XSS. Уязвимость XSS существует в версии 1 Customer Support System. Злоумышленник может вставить JavaScript-код через поле/параметр «Address» при редактировании/создании клиента. Код выполняется при каждом посещении страницы «/customer_support/index.php?page=customer_list».

Версия уязвимого продукта: Customer Support System 1.0
Автор CVE: Geraldo Alcântara
Дата: 28/11/2023
Подтверждено: 19/12/2023
CVE: CVE-2023-49977
Протестировано на: Windows

Шаги для воспроизведения:

1. Войдите в приложение.
2. Перейдите на страницу «/customer_support/index.php?page=customer_list» для редактирования существующего клиента или «/customer_support/index.php?page=new_customer» для создания нового клиента.
3. Создайте или отредактируйте клиента и вставьте вредоносную нагрузку в поле/параметр «Address».
4. Нагрузка:

</dt></b><script>alert(document.domain)</script>

Обнаружил(и)/Автор(ы):
Geraldo Alcântara