🛡️ Divulgación de CVE: CVE-2025-51411 — XSS Reflejado en Institute-of-Current-Students

Fecha de divulgación: 25 de julio de 2025
ID de CVE: CVE-2025-51411
Severidad: MEDIA (CVSS 6.1)

🧩 Resumen

Existe una vulnerabilidad de Cross-Site Scripting (XSS) reflejado en el proyecto Institute-of-Current-Students v1.0, específicamente dentro del endpoint postquerypublic. La entrada sin sanitizar en el parámetro email se refleja directamente en el HTML de la respuesta, lo que permite a los atacantes ejecutar JavaScript arbitrario en el navegador de un usuario que visita un enlace malicioso o envía una solicitud manipulada.

A este problema se le ha asignado el identificador CVE-2025-51411. En el momento de la divulgación, no se ha publicado ningún parche por parte del proveedor.

📦 Producto Afectado

• Proveedor: Independiente (mathurvishal)
• Proyecto: Institute-of-Current-Students---PHP-Project
• Versión: v1.0
• Archivo: postquerypublic
• Endpoint vulnerable:
  http://localhost/Institute-of-Current-Students/postquerypublic

🔬 Detalles de la Vulnerabilidad

El servidor no sanea adecuadamente el parámetro email de los datos POST antes de reflejarlo en el HTML de la respuesta. Esto permite a los atacantes inyectar payloads de JavaScript, lo que conduce a la ejecución de código en el lado del cliente.

Patrón de Código Vulnerable (hipotético):

$email = $_POST['email'];
echo "<div>Email: $email</div>";

📌 Clasificación CWE

📊 Puntuación CVSS v3.1

💥 Impacto

Una explotación exitosa podría resultar en:

• 🧠 Ejecución de JavaScript arbitrario
• 🎭 Phishing o suplantación de identidad mediante inyección de HTML
• 🍪 Secuestro de sesión o robo de tokens
• 🚨 Redirección forzada o entrega de malware

🧪 Prueba de Concepto (PoC)

📥 Solicitud de Ejemplo

POST /Institute-of-Current-Students/postquerypublic HTTP/1.1
Host: localhost
Content-Type: application/x-www-form-urlencoded

email=testing%40example.com'"()%26%25<zzz><ScRiPt%20>IZwW(9455)</ScRiPt>&gnamex=pHqghUme&squeryx=555&update=Post%20Query!

📋 Payload Inyectado

<ScRiPt >IZwW(9455)</ScRiPt>

Este payload se ejecuta si el servidor refleja el valor de email sin sanitización.

🔐 Recomendaciones

• ✅ Use htmlspecialchars() o equivalente para codificar todas las salidas no confiables antes de renderizarlas en HTML.
• 🧰 Implemente validación de entrada en el lado del servidor para todas las entradas de formularios.
• 🧱 Establezca cabeceras sólidas de Política de Seguridad de Contenido (CSP).
• 🚫 Evite incrustar directamente entradas de usuario sin sanitizar en las respuestas HTML.

✅ Ejemplo de Corrección

$email = htmlspecialchars($_POST['email'], ENT_QUOTES, 'UTF-8');

📆 Cronología

🙋‍♂️ Créditos

Esta vulnerabilidad fue descubierta y divulgada por:

Tansique Dasari
🔗 GitHub
✉️ [email protected]

🔗 Referencias

• OWASP - XSS
• CWE-79 - Clasificación XSS
• GitHub - Institute-of-Current-Students
• CVE-2025-51411 en CVE.org

💬 Este aviso se publica de forma independiente debido a la ausencia de un parche oficial del proveedor.