やられアプリ BadTodo - 4.6 XSS パスワード変更ページ

前回：やられアプリ BadTodo - 4.5 XSS マイページ - demandosigno

パスワード変更ページ/changepwd.phpのidパラメータにXSSがあります。

https://todo.example.jp/changepwd.php?id=%27%3E%3Cscript%3Ealert(1)%3C/script%3EにアクセスさせることでXSSが発動します。

<div id="changepwd">
  パスワード変更()<BR>
  <form action='changepwddo.php' method='post'>
    <input type='hidden' name='id' value=''><script>alert(1)</script>'>

ただし、このXSSは「管理者権限」を持つユーザでないと実行されません。

ZAPでの検出例。

次回：やられアプリ BadTodo - 4.7 XSS（Todo詳細ページ） - demandosigno