CVE-2023-49977

Customer Support System 1.0 - 在 “customer_list” 页面的 “Address” 字段/参数中存在跨站脚本（XSS）漏洞

描述: Customer Support System 1.0 存在存储型 XSS 漏洞。Customer Support System 1.0 版本中存在 XSS 漏洞。恶意行为者可以在编辑/创建客户时，通过 “Address” 字段/参数插入 JavaScript 代码。只要访问 “/customer_support/index.php?page=customer_list” 页面，该代码就会被执行。

受影响产品版本: Customer Support System 1.0
CVE 作者: Geraldo Alcântara
日期: 28/11/2023
确认日期: 19/12/2023
CVE: CVE-2023-49977
测试平台: Windows

复现步骤:

1. 登录应用程序。
2. 导航到 “/customer_support/index.php?page=customer_list” 以编辑现有客户，或导航到 “/customer_support/index.php?page=new_customer” 以创建新客户。
3. 创建或编辑客户，并将恶意载荷插入 “Address” 字段/参数。
4. Payload:

</dt></b><script>alert(document.domain)</script>

发现者/致谢:
Geraldo Alcântara