💥 CVE-2025-28121 - XSS Reflejado en Online Exam Mastering System 1.0

📝 Descripción

code-projects Online Exam Mastering System 1.0 es vulnerable a Cross-Site Scripting (XSS) Reflejado en el archivo feedback.php a través del parámetro q.

Este problema permite a atacantes remotos inyectar JavaScript malicioso en la aplicación, el cual se refleja en la respuesta sin una adecuada sanitización o codificación. Una explotación exitosa puede conducir al robo de cookies, apropiación de cuentas u otros ataques del lado del cliente.

🕵️‍♂️ Detalles de la Vulnerabilidad

🔥 Prueba de Concepto (PoC)

Endpoint Vulnerable

http://localhost/exam/feedback.php?q=Thank%20you%20for%20your%20valuable%20feedback

Payload de Explotación

http://localhost/exam/feedback.php?q=<script>alert('XSS')</script>
http://localhost/exam/feedback.php?q=%3Cscript%3Ealert(document.cookie)%3C/script%3E

💡 Nota: Reemplace localhost con la IP o dominio del objetivo desplegado si está probando en un entorno real.

Cómo Funciona

Cuando la URL anterior es abierta por una víctima, el script malicioso incrustado en el parámetro q se ejecuta en el contexto del navegador de la víctima. Dado que la entrada se refleja directamente sin sanitización, abre la puerta a ataques clásicos de XSS reflejado.

⚠️ Impacto

• Apropiación de Cuenta mediante robo de cookies de sesión.
• Escalada de Privilegios si un usuario administrador hace clic en el enlace.
• Explotación del Navegador, phishing u otros ataques de ingeniería social.

🛡️ Mitigación

Para prevenir esta vulnerabilidad:

• Sanitizar y codificar la entrada del usuario antes de renderizarla.
• Utilizar bibliotecas de seguridad como ESAPI de OWASP o funciones integradas de PHP como htmlspecialchars().
• Implementar una Política de Seguridad de Contenido (CSP) para reducir el impacto de scripts inyectados.

📣 Divulgación

Esta vulnerabilidad fue descubierta y divulgada de manera responsable por Pruthu Raut.

Video PoC

https://github.com/user-attachments/assets/6af000c3-08ad-46a6-bc93-efc48218591d