CVE-2021-46071

Название эксплойта: Система управления обслуживанием транспортных средств - 'Список категорий' Хранимая межсайтовая скриптовая атака (XSS)

Автор эксплойта: SANU P.L

CVE: CVE-2021-46071

CVSS: 4.8 СРЕДНИЙ

Ссылки:

• https://www.plsanu.com/vehicle-service-management-system-category-list-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46071
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46071

Описание:

Уязвимость хранимой межсайтовой скриптовой атаки (XSS) существует в Системе управления обслуживанием транспортных средств 1.0 через раздел 'Список категорий' в панели входа.

Эксплойт:

1. Войдите в панель администратора http://localhost/vehicle_service/admin
2. Перейдите в раздел 'Список категорий' и нажмите кнопку 'Создать новый'.
3. Вставьте следующий пэйлоад в поле ввода 'Название категории'.

Пэйлоад:

 "><script>alert(document.cookie)</script>

4. Нажмите кнопку 'Сохранить'.
5. Вредоносный JavaScript-код срабатывает.

Воздействие:

Злоумышленник может внедрить вредоносный JavaScript-код в раздел 'Список категорий'.

Меры по смягчению:

Рекомендуется очищать все поля ввода во всем приложении.