关键信息 漏洞类型 Reflected XSS (authenticated) CVE编号 CVE-2024-51423 影响版本 Infor Global HR v11.23.03.00.21及之前版本 漏洞描述 该漏洞存在于处理班级列表的URL端点中，通过 参数在错误消息渲染时发生。 当未定义或无效的 值通过URL传递时，系统尝试加载一个不存在的类，生成包含提供的输入但没有适当清理或正确编码的错误消息。 攻击者可以注入恶意HTML或JavaScript代码到此参数中，当反射到错误消息中时，在用户的浏览器上下文中执行，导致跨站脚本（XSS）漏洞。 利用方式 修改URL中的 参数以包含恶意payload，如JavaScript或HTML代码。 通过钓鱼、社会工程学或其他攻击向量将修改后的URL发送给受害者。 当受害者导航到修改后的URL时，应用程序直接将恶意输入反射到错误消息中，而没有足够的清理。 受害者的浏览器在错误消息中呈现注入的payload，允许在受害者的浏览器中任意执行脚本。 示例 Example 1 - Simple JavaScript Alert Injection - Payload: - URL Encoded Payload: - PoC: 显示弹出窗口“1” Example 2 - Remote JavaScript Injection for Data Theft - Payload: - URL Encoded Payload: - PoC: 加载远程脚本并窃取数据