CVE-2021-46074

漏洞标题: Vehicle Service Management System - 'Settings' 存储型跨站脚本 (XSS)

漏洞作者: SANU P.L

CVE: CVE-2021-46074

CVSS: 4.8 中危

参考资料:

• https://www.plsanu.com/vehicle-service-management-system-settings-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46074
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46074

描述:

在 Sourcecodester Vehicle Service Management System 1.0 的登录面板中的设置部分存在一个存储型跨站脚本 (XSS) 漏洞。

漏洞利用:

1. 登录到管理面板 http://localhost/vehicle_service/admin
2. 导航到设置部分 http://localhost/vehicle_service/admin/?page=system_info
3. 将以下有效负载注入系统名称、系统短名称和关于我们输入字段。

有效负载:

 "><script>alert(document.cookie)</script>

4. 点击更新按钮。
5. 恶意JavaScript代码被触发。

影响:

攻击者能够在设置部分注入恶意JavaScript代码。

缓解措施:

建议对应用程序中的所有输入字段进行清理。