CVE-2021-46068

Название эксплойта: Vehicle Service Management System - 'MyAccount' Хранимый межсайтовый скриптинг (XSS)

Автор эксплойта: SANU P.L

CVE: CVE-2021-46068

CVSS: 4.8 СРЕДНИЙ

Ссылки:

• https://www.plsanu.com/vehicle-service-management-system-myaccount-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46068
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46068

Описание:

В Vehicle Service Management System 1.0 существует уязвимость хранимого межсайтового скриптинга (XSS) через раздел «My Account» в панели входа.

Эксплуатация:

1. Войдите в панель администратора http://localhost/vehicle_service/admin
2. Перейдите в раздел «My Account» http://localhost/vehicle_service/admin/?page=user
3. Внедрите приведенную ниже полезную нагрузку в поля ввода имени и фамилии.

Полезная нагрузка:

"><script>alert(document.cookie)</script>

4. Нажмите кнопку обновления.
5. Срабатывает вредоносный JavaScript-код.

Воздействие:

Злоумышленник может внедрить вредоносный JavaScript-код в раздел «My Account».

Меры по смягчению:

Рекомендуется санировать все поля ввода во всем приложении.