CVE-2021-46074

Название эксплойта: Vehicle Service Management System - 'Settings' Межсайтовый скриптинг (XSS) с сохранением

Автор эксплойта: САНУ П.Л.

CVE: CVE-2021-46074

CVSS: 4.8 СРЕДНИЙ

Ссылки:

• https://www.plsanu.com/vehicle-service-management-system-settings-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46074
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46074

Описание:

Уязвимость межсайтового скриптинга с сохранением (XSS) существует в Sourcecodester Vehicle Service Management System 1.0 через раздел настроек (Settings Section) на панели входа.

Эксплойт:

1. Войдите в панель администратора http://localhost/vehicle_service/admin
2. Перейдите в раздел настроек http://localhost/vehicle_service/admin/?page=system_info
3. Вставьте приведённую ниже нагрузку в поля ввода System Name, System Short Name и About Us.

Нагрузка:

 "><script>alert(document.cookie)</script>

4. Нажмите кнопку обновления.
5. Вредоносный код JavaScript срабатывает.

Воздействие:

Злоумышленник может внедрить вредоносный код JavaScript в раздел настроек.

Смягчение:

Рекомендуется очищать все поля ввода во всём приложении.