CVE-2023-49987

School Fees Management System v1.0 - Уязвимость межсайтового скриптинга (XSS) в параметре "tname" на "new_term"

Описание: Уязвимость межсайтового скриптинга (XSS) в компоненте "new_term" School Fees Management System 1.0 позволяет злоумышленникам выполнять произвольные веб-скрипты или HTML-код через специально сформированную полезную нагрузку, внедряемую в параметр "tname".

Версия уязвимого продукта: School Fees Management System v1.0
Автор CVE: Geraldo Alcântara
Дата: 28/11/2023
Подтверждено: 19/12/2023
CVE: CVE-2023-49987
Протестировано на: Windows

Шаги для воспроизведения:

Для эксплуатации уязвимости пользователь с соответствующими правами должен перейти на страницу "/ci_fms/admin/management/term". На этой странице пользователь должен либо отредактировать существующий термин, либо добавить новый. Вредоносная полезная нагрузка должна быть вставлена в параметр "tname" в ходе этого процесса.

Полезная нагрузка:

<script>alert(document.domain)</script>

Обнаружитель(и)/Автор(ы):
Geraldo Alcântara