🛡️ Divulgation de CVE : CVE-2025-51411 — XSS réfléchi dans Institute-of-Current-Students

Date de divulgation : 25 juillet 2025
Identifiant CVE : CVE-2025-51411
Gravité : MOYENNE (CVSS 6.1)

🧩 Résumé

Une vulnérabilité de type Cross-Site Scripting (XSS) réfléchi existe dans le projet Institute-of-Current-Students v1.0, plus précisément au niveau du point de terminaison postquerypublic. L'entrée non assainie du paramètre email est directement reflétée dans le HTML de la réponse, permettant aux attaquants d'exécuter du JavaScript arbitraire dans le navigateur d'un utilisateur qui visite un lien malveillant ou soumet une requête spécialement conçue.

Ce problème a reçu l'identifiant CVE-2025-51411. Au moment de la divulgation, aucun correctif n'a été publié par l'éditeur.

📦 Produit concerné

Éditeur : Indépendant (mathurvishal)
Projet : Institute-of-Current-Students---PHP-Project
Version : v1.0
Fichier : postquerypublic
Point de terminaison vulnérable :
http://localhost/Institute-of-Current-Students/postquerypublic

🔬 Détails de la vulnérabilité

Le serveur n'assainit pas correctement le paramètre email des données POST avant de le refléter dans le HTML de la réponse. Cela permet aux attaquants d'injecter des charges utiles JavaScript, ce qui conduit à l'exécution de code côté client.

Modèle de code vulnérable (hypothétique) :

$email = $_POST['email'];
echo "<div>Email: $email</div>";

📌 Classification CWE

Identifiant CWE	Titre
CWE-79	Neutralisation incorrecte des entrées lors de la génération de la page Web ('Cross-site Scripting')

📊 Score CVSS v3.1

Score	Gravité	Vecteur
6.1	MOYENNE	`CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N`

💥 Impact

Une exploitation réussie pourrait entraîner :

🧠 Exécution de JavaScript arbitraire
🎭 Hameçonnage ou usurpation d'identité via l'injection HTML
🍪 Détournement de session ou vol de jetons
🚨 Redirection forcée ou distribution de logiciels malveillants

🧪 Preuve de concept (PoC)

📥 Exemple de requête

POST /Institute-of-Current-Students/postquerypublic HTTP/1.1
Host: localhost
Content-Type: application/x-www-form-urlencoded

email=testing%40example.com'"()%26%25<zzz><ScRiPt%20>IZwW(9455)</ScRiPt>&gnamex=pHqghUme&squeryx=555&update=Post%20Query!

📋 Charge utile injectée

<ScRiPt >IZwW(9455)</ScRiPt>

Cette charge utile est exécutée si le serveur reflète la valeur du paramètre email sans assainissement.

🔐 Recommandations

✅ Utilisez htmlspecialchars() ou un équivalent pour encoder toutes les sorties non fiables avant de les afficher en HTML.
🧰 Mettez en place une validation des entrées côté serveur pour toutes les entrées de formulaire.
🧱 Définissez des en-têtes de Content Security Policy (CSP) robustes.
🚫 Évitez d'intégrer directement des entrées utilisateur non assainies dans les réponses HTML.

✅ Exemple de correctif

$email = htmlspecialchars($_POST['email'], ENT_QUOTES, 'UTF-8');

📆 Chronologie

Événement	Date
Vulnérabilité découverte	18 juillet 2025
Divulgation publique	25 juillet 2025
Correctif disponible	❌ Non disponible au moment de la divulgation

🙋‍♂️ Crédits

Cette vulnérabilité a été découverte et divulguée par :

Tansique Dasari
🔗 GitHub
✉️ [email protected]

🔗 Références

💬 Cet avis est publié de manière indépendante en raison de l'absence de correctif officiel de l'éditeur.

CVE-2025-51411

Populaires