CVE-2021-46069

Exploit Title: 车辆服务管理系统 - 'Mechanic List' 存储型跨站脚本 (XSS)

Exploit Author: SANU P.L

CVE: CVE-2021-46069

CVSS: 4.8 MEDIUM

References:

• https://www.plsanu.com/vehicle-service-management-system-mechanic-list-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46069
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46069

Description:

车辆服务管理系统 1.0 的登录面板中的 Mechanic List 部分存在存储型跨站脚本 (XSS) 漏洞。

Exploit:

1. 登录管理后台 http://localhost/vehicle_service/admin
2. 导航到 Mechanic List 部分，点击 Create New 按钮。
3. 在 Full Name 和 Contact 输入字段中注入以下载荷。

Payload:

 "><script>alert(document.cookie)</script>

4. 点击 Save 按钮。
5. 恶意 JavaScript 代码被触发。

Impact:

攻击者能够在 Mechanic List 部分注入恶意 JavaScript 代码。

Mitigation:

建议对应用程序中的所有输入字段进行清理。