CVE-2023-49974

Customer Support System 1.0 - 在“customer_list”页面的“contact”字段/参数中存在跨站脚本（XSS）漏洞

描述：Customer Support System 1.0 存在存储型XSS漏洞。在Customer Support System 1版本中存在一个XSS漏洞。恶意行为者可以在编辑/创建客户时通过“contact”字段/参数插入JavaScript代码。每当访问页面“/customer_support/index.php?page=customer_list”时，该代码就会被执行。

受影响产品版本：Customer Support System 1.0
CVE作者：Geraldo Alcântara
日期：28/11/2023
确认于：19/12/2023
CVE编号：CVE-2023-49974
测试环境：Windows

复现步骤：

1. 登录应用程序。
2. 导航至“/customer_support/index.php?page=customer_list”编辑已有客户，或“/customer_support/index.php?page=new_customer”创建新客户。
3. 创建或编辑一个客户，并将恶意payload插入到“contact”字段/参数中。
4. Payload:

</dt></b><script>alert(document.domain)</script>

发现者/致谢：
Geraldo Alcântara