rashidkhanpathan/cve-2022-43117مستودع يوثق إثبات المفهوم لثغرة XSS مخزنة في تطبيق تخزين كلمات المرور من Sourcecodester الإصدار 1.0، مع تفاصيل الاستغلال ونواقل الهجوم لاختبار الأمان.
[الوصف المقترح] تم اكتشاف أن تطبيق تخزين كلمات المرور من Sourcecodester في PHP/OOP وMySQL الإصدار 1.0 يحتوي على ثغرات متعددة من نوع البرمجة النصية عبر المواقع (XSS) عبر معاملات الاسم (Name) واسم المستخدم (Username) والوصف (Description) وميزة الموقع (Site Feature).
[معلومات إضافية] إثبات المفهوم: https://drive.google.com/file/d/1ZmAuKMVzUpL8pt5KXQJk8IyPECoVP9xw/view?usp=sharing صفحة البائع الرئيسية: https://www.sourcecodester.com/php/15726/password-storage-application-phpoop-and-mysql-free-source-code.html رابط البرنامج: https://www.sourcecodester.com/sites/default/files/download/oretnom23/psa_php.zip
[نوع الثغرة] برمجة نصية عبر المواقع (XSS)
[بائع المنتج] Sourcecodester
[قاعدة كود المنتج المتأثر] تطبيق تخزين كلمات المرور في PHP/OOP وMySQL - 1.0
[المكون المتأثر] الكود المصدري
[نوع الهجوم] عن بُعد
[تنفيذ الكود (تأثير)] صحيح
[نواقل الهجوم] لاستغلال هذه الثغرة، يحتاج المهاجم أولاً إلى إنشاء حسابه على http://localhost/psa_php/owner_registration.php، ثم تسجيل الدخول باستخدام كلمة المرور التي تم إنشاؤها. بعد تسجيل الدخول، يحتاج المهاجم إلى حقن كود JavaScript عشوائي داخل حقول الاسم (Name) واسم المستخدم (Username) والوصف (Description) والموقع (Site)، ثم النقر على حفظ. بمجرد أن ينقر المهاجم على زر الحفظ، سيتم تنفيذ حمولة JavaScript العشوائية.
[المرجع] https://www.sourcecodester.com/php/15726/password-storage-application-phpoop-and-mysql-free-source-code.html https://drive.google.com/file/d/1ZmAuKMVzUpL8pt5KXQJk8IyPECoVP9xw/view?usp=sharing
[المكتشف] RashidKhan Pathan
استخدم CVE-2022-43117
