CVE-2021-38583

总结

openBaraza HCM 3.1.6 未能正确中和用户可控制的输入，从而在多个页面上允许反射型跨站脚本（XSS）：hr/subscription.jsp、hr/application.jsp 以及 hr/index.jsp（带有 view= 和 data=）。

• CVE-2021-38583PoC

  CVE-2021-38583 的概念验证：openBaraza HCM HR Payroll v3.1.6 中的反射型 XSS。记录了多个存在漏洞的 JSP 页面和输入字段，并附有载荷示例。