ثغرة XSS مخزنة في عنوان الأخبار - نظام إدارة المحتوى البسيط PHP

الوصف

توجد ثغرة برمجة نصية عبر المواقع (XSS) مخزنة في نظام إدارة المحتوى البسيط PHP. حقل عنوان الأخبار في لوحة التحكم لا يقوم بتعقيم إدخال المستخدم قبل تخزينه في قاعدة البيانات وعرضه على الصفحة العامة. أي زائر يتصفح الصفحة الرئيسية سيؤدي إلى تشغيل حمولة XSS المخزنة، مما يسمح للمهاجم بسرقة ملفات تعريف الارتباط الخاصة بالجلسة واختطاف الحسابات.

---

تفاصيل الثغرة

• النوع: برمجة نصية عبر المواقع مخزنة (CWE-79)
• التأثير: اختطاف الجلسة / سرقة ملفات تعريف الارتباط
• الملف المتأثر: /web/admin/welcome.php
• المعامل المتأثر: حقل عنوان الأخبار
• ناقل الهجوم: عن بُعد، مصادق عليه (مدير)
• يتم التشغيل على: /web/index.php (عام، بدون مصادقة)

---

البائع

code-projects.org

المنتج

نظام إدارة المحتوى البسيط PHP

الإصدار

1.0

---

إثبات المفهوم (PoC)

الخطوة 1 - تسجيل الدخول إلى لوحة التحكم والانتقال إلى إضافة الأخبار:

http://[target]/web/admin/welcome.php?addnews

الخطوة 2 - إدخال حمولة XSS في حقل عنوان الأخبار:

الخطوة 3 - إرسال النموذج:

الخطوة 4 - زيارة الصفحة العامة:

http://[target]/web/index.php

الخطوة 5 - يتم تنفيذ XSS وتسريب ملفات تعريف الارتباط الخاصة بالجلسة:

---

التأثير

أي مستخدم يزور الصفحة العامة سيتم كشف ملفات تعريف الارتباط الخاصة بجلسته للمهاجم. وهذا يسمح باختطاف الجلسة الكامل والاستيلاء على الحساب لأي مستخدم مسجل الدخول بما في ذلك المسؤولين.

---

المؤلف

Imad Alvi

---

المرجع

https://code-projects.org/simple-content-management-system-in-php-with-source-code/