CVE-2025-50363_BXSS_CVE

Projektname & Repo-URL: Maid Hiring Management System mit PHP und MySQL

Schwachstellentyp: Privilegienausweitung durch Blind XSS

**Betroffene Version(en):**v1.0

💣Beschreibung der Schwachstelle: Eine Blind-Cross-Site-Scripting (XSS)-Schwachstelle wurde im Maid Hiring Management System entdeckt, die es einem regulären Benutzer (wie einer Haushaltshilfe oder einem Arbeitgeber) ermöglicht, seine Berechtigungen zu erweitern und möglicherweise die Kontrolle über ein Administratorkonto zu übernehmen.

👩‍💻Auswirkungen: Komplette Übernahme des Administratorkontos, Zugriff auf sensible Daten und Systemmanipulation.

🛜Proof-of-Concept (PoC)

1. Es gab mhms/maid-hiring.php, wo ein Benutzer sich auf eine Stellenausschreibung bewerben kann.
2. Füllen Sie das Formular mit einem Blind-XSS-Payload in das Feld Name aus und reichen Sie das Formular ein.
3. Wenn der Administrator die Bewerbung ansieht, wird der Blind-XSS-Payload ausgelöst.
4. Sehen Sie sich die Antwort des Blind-XSS-Payloads an, die das Session-Cookie des Administrators enthält.
5. Verwenden Sie das Admin-Cookie, um die Privilegien zu erweitern.

Empfehlung: Eingabe bereinigen, Ausgabe kodieren und CSP implementieren.