نظام إدارة معمل الحاسوب باستخدام PHP وMySQL الإصدار 1.0

مقدم من: Kha Do

الثغرة

البرمجة النصية عبر المواقع (Cross Site Scripting)

الوصف

ثغرة البرمجة النصية عبر المواقع في php-lms/admin/?page=system_info في نظام إدارة معمل الحاسوب باستخدام PHP وMySQL الإصدار 1.0 تسمح للمهاجمين عن بُعد بحقن نصوص برمجية أو HTML عشوائية عبر المعلمتين name و shortname.

المكوّن المتأثر

مسار الرابط: php-lms/admin/?page=system_info

المعلمات: اسم النظام (name)، الاسم المختصر للنظام (shortname)

إثبات الفكرة (POC)

أدخل الحمولة <script>alert(1337)</script> في اسم النظام name واحفظها.

بعد الحفظ، ستظهر نافذة منبثقة كما يلي: