armaansidana2003/cve-2025-25620Preuve de concept pour XSS stocké dans la fonction Create Assignment d'Unifiedtransform v2.0, démontrant l'exécution de code à distance via un téléchargement de PDF malveillant et la prise de contrôle de compte.
Unifiedtransform v2.0 est vulnérable au Cross-Site Scripting stocké (XSS) dans la fonction « Create Assignment », permettant aux attaquants d'exécuter des scripts malveillants dans le contexte des sessions d'autres utilisateurs.
Éditeur : Unifiedtransform
Étape 1 : Connectez-vous à l'application en tant qu'enseignant.
Étape 2 : Créez un devoir et téléversez un fichier PDF contenant un payload XSS.
Étape 3 : Accédez à la section « View Assignment » sous Courses et ouvrez le devoir téléversé.
Impact : Les scripts malveillants s'exécutent lorsque le devoir est consulté, ce qui peut conduire à une prise de contrôle de compte (ATO) et à d'autres implications de sécurité graves.
Type de vulnérabilité : Cross-Site Scripting (XSS)
Type d'attaque : À distance
Impact : Exécution de code
Vecteurs d'attaque : XSS stocké via la création de devoirs, déclenché lors de la consultation du devoir.
Découvreur : Armaan Sidana
Références :
