CVE-2021-46069

漏洞标题: Vehicle Service Management System - 'Mechanic List' 存储型跨站脚本（XSS）

漏洞作者: SANU P.L

CVE: CVE-2021-46069

CVSS: 4.8 MEDIUM

参考:

• https://www.plsanu.com/vehicle-service-management-system-mechanic-list-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46069
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46069

描述:

Vehicle Service Management System 1.0 在登录面板的 Mechanic List 部分存在一个存储型跨站脚本（XSS）漏洞。

漏洞利用:

1. 登录管理面板 http://localhost/vehicle_service/admin
2. 转到 Mechanic List 部分，点击 Create New 按钮。
3. 在 Full Name 和 Contact 输入字段中注入以下 payload。

Payload:

 "><script>alert(document.cookie)</script>

4. 点击 Save 按钮。
5. 恶意 JavaScript 代码被触发。

影响:

攻击者可以在 Mechanic List 部分注入恶意 JavaScript 代码。

缓解措施:

建议清理整个应用程序中的所有输入字段。