CVE-2022-3949

XSS في Simple Cashiering System

نظام Simple Cashiering System عرضة لثغرة البرمجة النصية عبر المواقع (XSS) - حيث يمكن لمهاجم خبيث تغيير الاسم الكامل (fullname) لمستخدم مخترَق إلى حمولة XSS (Payload)، وعندما يزور مستخدم admin تبويب المستخدمين (user-tab) أو تبويب المبيعات (sales tab) (وينظر إلى المبيعات التي أجراها المهاجم الخبيث) يتم تشغيل الحمولة. وهذا يمكن أن يؤدي إلى الاستيلاء على الجلسة لأن الكوكي (cookie) لا يحتوي على علم HttpOnly.

خطوات إعادة الإنتاج:

• قم بتنزيل https://www.sourcecodester.com/php/14945/simple-cashiering-system-pos-php-and-sqlite-source-code-free-download.html
• قم بإعداد خادم ويب مع php + sqlite3 وانسخ التطبيق إلى خادم الويب
• سجّل الدخول كمستخدم وغيّر اسمك الكامل إلى
• سجّل الدخول كمستخدم admin وزر تبويب المستخدمين في لوحة تحكم admin
• يتم تشغيل XSS