sacx-7/cve-2025-46178Documentación y prueba de concepto para una vulnerabilidad de XSS reflejado en el proyecto PHP CloudClassroom, incluyendo vectores de ataque y recomendaciones de mitigación.
Información adicional El payload demuestra la ejecución exitosa de JavaScript usando la función alert(9734). La entrada no se sanitiza ni codifica adecuadamente antes de renderizarse, exponiendo la aplicación a XSS reflejado.
Utilice validación de entrada del lado del servidor Codifique correctamente la salida (especialmente en contextos HTML) Considere usar librerías de seguridad como OWASP ESAPI o frameworks con protección XSS integrada
Cross Site Scripting (XSS)
https://github.com/mathurvishal/CloudClassroom-PHP-Project 1.0 - https://github.com/mathurvishal/CloudClassroom-PHP-Project 1.0
askquery.php, parámetro GET eid, lógica de renderizado HTML del frontend
Un atacante puede inyectar payloads maliciosos de JavaScript a través del parámetro GET eid. Cuando una víctima visita una URL manipulada, el script se ejecuta en su navegador, pudiendo robar cookies o realizar acciones no autorizadas.
Referencia https://owasp.org/www-community/attacks/xss/
