CVE-2025-56605

XSS (ثغرة البرمجة النصية عبر المواقع)

CVE-2025-56605 — ثغرة XSS منعكسة في نظام إدارة الفعاليات 1.0

الوصف:
توجد ثغرة XSS منعكسة (Cross-Site Scripting) في register.php من PuneethReddyHC/event-management 1.0.
لا يتم التحقق من معامل mobile المُرسل عبر POST بشكل صحيح ويُعاد عكسه في الاستجابة، مما يسمح بحقن كود JavaScript عشوائي.

معرّف CVE: CVE-2025-56605
اكتُشفت بواسطة: Isroil Mustafoqulov
نوع الثغرة: XSS منعكسة
متجه الهجوم: عن بُعد

خطوات إعادة إنتاج الثغرة (محليًا فقط):

1. استنسخ المشروع وشغّله محليًا.
2. أرسل طلب POST مُصممًا إلى backend/register.php مع حمولة خبيثة في معامل mobile.
3. تُعكس الحمولة في الاستجابة دون تنقية.

⚠️ تم حذف الحمولات عمدًا. لا تحاول استغلال الثغرة على أنظمة لا تملكها.

التخفيف:
قم بتنقية/ترميز مدخلات المستخدم قبل الإخراج. مثال في PHP:

echo htmlspecialchars($_POST['mobile'], ENT_QUOTES, 'UTF-8');