CVE-2025-50363_BXSS_CVE

Nom du projet et URL du dépôt : Système de gestion d'embauche de femmes de ménage utilisant PHP et MySQL

Type de vulnérabilité : Escalade de privilèges via XSS aveugle

Version(s) affectée(s) : v1.0

💣Description de la vulnérabilité : Une vulnérabilité de Cross-Site Scripting (XSS) aveugle a été découverte dans le système de gestion d'embauche de femmes de ménage, qui permet à un utilisateur ordinaire (comme une femme de ménage ou un employeur) d'escalader ses privilèges et potentiellement de prendre le contrôle d'un compte administrateur.

👩‍💻Impact : Prise de contrôle complète du compte administrateur, accès aux données sensibles et manipulation du système.

🛜Preuve de concept (PoC)

1. Il existe un fichier mhms/maid-hiring.php, où un utilisateur peut postuler à une offre d'emploi.
2. Remplissez le formulaire avec une charge utile XSS aveugle dans le champ Nom et soumettez le formulaire.
3. Lorsque l'administrateur consulte la candidature, la charge utile XSS aveugle est déclenchée.
4. Consultez la réponse de la charge utile XSS aveugle, qui contient le cookie de session de l'administrateur.
5. Utilisez le cookie de l'administrateur pour escalader les privilèges.

Recommandation : Nettoyez les entrées, appliquez un encodage de sortie et mettez en œuvre une CSP.