CVE-2025-50866

CloudClassroom-PHP-Project 1.0 contiene una vulnerabilidad de Cross-site Scripting (XSS) reflejado en el parámetro email del endpoint postquerypublic. Una sanitización inadecuada permite a un atacante inyectar código JavaScript arbitrario que se ejecuta en el contexto del navegador del usuario, lo que podría llevar a secuestro de sesión o ataques de phishing.

---

Tipo de vulnerabilidad :

Cross Site Scripting (XSS)

---

Vendedor del producto :

https://github.com/mathurvishal/CloudClassroom-PHP-Project

---

Base de código del producto afectado :

https://github.com/mathurvishal/CloudClassroom-PHP-Project 1.0 - https://github.com/mathurvishal/CloudClassroom-PHP-Project 1.0

---

Componente afectado : postquerypublic.php, parámetro email en solicitud POST

---

Tipo de ataque : Remoto

---

Vectores de ataque

Un atacante puede explotar esta vulnerabilidad enviando una solicitud POST manipulada al endpoint vulnerable /CloudClassroom-PHP-Project-master/postquerypublic, inyectando JavaScript malicioso a través del parámetro email. La aplicación refleja esta entrada sin sanitización, lo que produce un XSS reflejado.

---

Pasos de reproducción:

Implemente la aplicación PHP vulnerable localmente (por ejemplo, http://localhost/CloudClassroom-PHP-Project-master/).

Envíe la siguiente solicitud POST:

POST /CloudClassroom-PHP-Project-master/postquerypublic HTTP/1.1 Host: localhost Content-Type: application/x-www-form-urlencoded

email=[email protected]'"()&%&gnamex=abc&squeryx=123&update=Post%20Query!

---

Referencia https://owasp.org/www-community/attacks/xss/