CVE-2025-29015 - Système bancaire en ligne 2.0.0 - XSS stocké dans pages_account.php

Description

Une vulnérabilité de Cross-Site Scripting (XSS) stocké existe dans Code Astro Internet Banking System 2.0.0 via le paramètre name dans /admin/pages_account.php. Du code JavaScript malveillant peut être injecté et stocké dans le système, s'exécutant chaque fois qu'un administrateur consulte la page affectée. Cela peut entraîner un détournement de session et d'autres attaques côté client.

Composant affecté

• Paramètre name dans /admin/pages_account.php
• Les données sont stockées et exécutées lorsqu'elles sont consultées par un administrateur

Étapes d'exploitation

1. Connectez-vous au panneau d'administration et accédez à la section "Compte".

3. Insérez la charge utile suivante dans le champ name et soumettez le formulaire :

   //--></SCRIPT>">'><SCRIPT>alert(String.fromCharCode(98, 49, 116, 109, 52, 114));</SCRIPT>

3. Lorsque l'utilisateur visite une page ou un menu, la charge utile se déclenche.

Impact

• Détournement de session
• Attaques de phishing
• Actions arbitraires au nom d'un administrateur

Atténuation

• Mettre en place une bonne désinfection des entrées (par exemple, échappement des caractères spéciaux).
• Utiliser une Politique de Sécurité du Contenu (CSP) pour limiter l'exécution de scripts.
• Valider et encoder les entrées utilisateur avant de les stocker.

Références

• Guide OWASP XSS