CVE-2025-46178

CVE-2025-46178

توجد ثغرة من نوع Cross-Site Scripting (XSS) في ملف askquery.php عبر المعامل eid في مشروع CloudClassroom PHP. وهذا يسمح للمهاجمين عن بُعد بحقن JavaScript عشوائي في سياق جلسة المتصفح للضحية عن طريق إرسال عنوان URL مخصص، مما يؤدي إلى اختطاف الجلسة أو تشويه الصفحة.

معلومات إضافية يُظهر الحمولة النجاح في تنفيذ JavaScript باستخدام دالة alert(9734). لم يتم تنظيف أو ترميز الإدخال بشكل صحيح قبل العرض، مما يعرض التطبيق لهجوم XSS المنعكس.

لتخفيف هذه المشكلة:

• استخدام التحقق من صحة الإدخال على جانب الخادم
• ترميز المخرجات بشكل صحيح (خاصة في سياقات HTML)
• النظر في استخدام مكتبات أمان مثل OWASP ESAPI أو أطر عمل تحتوي على حماية مدمجة من XSS

نوع الثغرة

Cross Site Scripting (XSS)

بائع المنتج

https://github.com/mathurvishal/CloudClassroom-PHP-Project

قاعدة كود المنتج المتأثر

https://github.com/mathurvishal/CloudClassroom-PHP-Project 1.0 - https://github.com/mathurvishal/CloudClassroom-PHP-Project 1.0

المكون المتأثر

askquery.php، المعامل eid من نوع GET، منطق عرض HTML للواجهة الأمامية

نواقل الهجوم

يمكن للمهاجم حقن حمولات JavaScript ضارة عبر المعامل eid من نوع GET. عندما يزور الضحية عنوان URL مخصصًا، يتم تنفيذ البرنامج النصي في متصفحه، مما قد يؤدي إلى سرقة ملفات تعريف الارتباط أو تنفيذ إجراءات غير مصرح بها.

1. انقر على http://localhost/CloudClassroom-PHP-Project-master/askquery.php?eid=testing%40example.com%27%22()%26%25%3Czzz%3E%3CScRiPt%20%3Ealert(9734)%3C/ScRiPt%3E
2. سترى تنبيهًا

مرجع https://owasp.org/www-community/attacks/xss/

---

المكتشف: saurabh

LinkedIn: https://www.linkedin.com/in/saurabh-b294b21aa/