Sistema de Gestión de Laboratorio de Computación usando PHP y MySQL 1.0

Remitente: Kha Do

Vulnerabilidad

Cross Site Scripting

Descripción

La vulnerabilidad de Cross Site Scripting en /php-lms/classes/Users.php?f=save en el Sistema de Gestión de Laboratorio de Computación usando PHP y MySQL 1.0 permite a atacantes remotos inyectar script web arbitrario o HTML a través de los parámetros firstname, middlename, lastname.

Componente afectado

Ruta URL: /php-lms/classes/Users.php?f=save

Parámetros: firstname, middlename, lastname

POC

Inyecte el payload <script>alert(123)</script> en el parámetro firstname y guárdelo.

Después de guardar, aparecerá una ventana emergente como la siguiente: