CVE-2021-46072

Название эксплойта: Vehicle Service Management System - хранимый межсайтовый скриптинг (XSS) в 'Service List'

Автор эксплойта: SANU P.L

CVE: CVE-2021-46072

CVSS: 4.8 MEDIUM

Ссылки:

• https://www.plsanu.com/vehicle-service-management-system-service-list-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46072
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46072

Описание:

В Vehicle Service Management System 1.0 существует уязвимость хранимого межсайтового скриптинга (XSS) через раздел Service List в панели входа.

Эксплуатация:

1. Войдите в панель администратора http://localhost/vehicle_service/admin
2. Перейдите в раздел Service List и нажмите кнопку Create New.
3. Внедрите приведённую ниже полезную нагрузку в поле ввода Service Name & Description.

Полезная нагрузка:

 "><script>alert(document.cookie)</script>

4. Нажмите кнопку Save.
5. Срабатывает вредоносный JavaScript-код.

Воздействие:

Злоумышленник может внедрить вредоносный JavaScript-код в раздел Service List.

Меры по устранению:

Рекомендуется выполнять санитизацию всех полей ввода во всём приложении.