CVE-2021-42663

CVE-2021-42662 - 在线活动预订与预约系统 2.3.0 版本中的 HTML 注入漏洞。

技术描述：

在线活动预订与预约系统 2.3.0 版本存在一个 HTML 注入漏洞。攻击者可以利用此漏洞更改网站的可见性。一旦目标用户点击特定链接，将显示攻击者选择的 HTML 代码内容。

受影响的组件 -

漏洞页面 - index.php

漏洞参数 - "msg"

利用步骤：

1. 导航到 http://localhost/event-management/views/index.php
2. 通过 URL 在 "msg" 参数中插入你的有效载荷
3. 将完整链接发送给受害者

概念验证 (Poc) -

以下有效载荷将允许你运行 HTML 代码 -

<h1>This is an HTML injection</h1>

参考 -

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42663

https://nvd.nist.gov/vuln/detail/CVE-2021-42663

发现者 -

Alon Leviev(0xDeku)，2021年10月22日。