CVE-2021-42664

CVE-2021-42664 - 工程师在线门户系统中的存储型跨站脚本漏洞。

技术描述：

工程师在线门户系统中存在一个存储型XSS漏洞。攻击者可以利用此漏洞在Web服务器用户的浏览器上执行JavaScript代码，从而导致cookie窃取、网站篡改等后果。

受影响组件 -

存在漏洞的页面 - add_quiz.php

存在漏洞的参数 - "quiz_title"、"description"

利用步骤：

1. 访问 http://localhost/nia_munoz_monitoring_system/add_quiz.php
2. 在 "quiz_title" 参数或 "description" 参数中插入你的payload
3. 点击保存

概念验证（PoC） -

以下payload可让你执行JavaScript代码：

<script>alert("This is an XSS")</script>

参考 -

https://www.exploit-db.com/exploits/50451

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-42664

https://nvd.nist.gov/vuln/detail/CVE-2021-42664

发现者 -

Alon Leviev(0xDeku)，2021年10月22日。