CVE-2021-46070

漏洞标题：车辆服务管理系统 - '服务请求' 存储型跨站脚本（XSS）

漏洞作者：SANU P.L

CVE：CVE-2021-46070

CVSS：4.8 中危

参考链接：

• https://www.plsanu.com/vehicle-service-management-system-service-requests-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46070
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46070

描述：

Vehicle Service Management System 1.0 在登录面板的“服务请求”部分存在一个存储型跨站脚本（XSS）漏洞。

利用：

1. 登录管理面板 http://localhost/vehicle_service/admin
2. 导航至“服务请求”部分，点击“创建新请求”按钮。
3. 在“车主联系方式”、“地址”、“车辆名称”、“车辆登记号”和“车辆型号”输入字段中注入以下载荷。

载荷：

 "><script>alert(document.cookie)</script>

4. 点击“保存请求”按钮。
5. 恶意 JavaScript 代码被触发。
6. 导航至“报表”部分。
7. 恶意 JavaScript 代码被触发。

影响：

攻击者能够在“服务请求”部分注入恶意 JavaScript 代码。

缓解措施：

建议对应用程序中的所有输入字段进行清洗处理。