CVE-2021-38619

总结

openBaraza HCM 3.1.6 未正确中和用户可控输入：未经身份验证的远程攻击者可以针对管理用户，从 hr/subscription.jsp、hr/application.jsp 以及 hr/index.jsp（带 view=）发起存储型跨站脚本（XSS）攻击。

• CVE-2021-38619PoC

  针对CVE-2021-38619的概念验证：在openBaraza HCM HR Payroll v3.1.6中的未认证存储型XSS，包含用于凭证窃取和会话劫持的payload示例。