CVE-2025-50363_BXSS_CVE

प्रोजेक्ट का नाम और रिपॉजिटरी URL: PHP और MySQL का उपयोग करके मेड हायरिंग मैनेजमेंट सिस्टम

भेद्यता प्रकार: ब्लाइंड XSS के माध्यम से विशेषाधिकार वृद्धि

प्रभावित संस्करण: v1.0

💣भेद्यता विवरण: मेड हायरिंग मैनेजमेंट सिस्टम में एक ब्लाइंड क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता पाई गई, जो एक सामान्य उपयोगकर्ता (जैसे मेड या नियोक्ता) को अपने विशेषाधिकारों को बढ़ाने और संभावित रूप से एक प्रशासनिक खाते पर नियंत्रण लेने की अनुमति देती है।

👩‍💻प्रभाव: पूर्ण व्यवस्थापक खाता अधिग्रहण, संवेदनशील डेटा तक पहुंच, और सिस्टम हेरफेर।

🛜प्रूफ-ऑफ-कॉन्सेप्ट (PoC)

1. mhms/maid-hiring.php था, जहां एक उपयोगकर्ता नौकरी के लिए आवेदन कर सकता है।
2. फॉर्म को नाम फ़ील्ड में एक ब्लाइंड XSS पेलोड के साथ भरें और फॉर्म सबमिट करें।
3. जब व्यवस्थापक आवेदन देखता है, तो ब्लाइंड XSS पेलोड ट्रिगर हो जाएगा।
4. ब्लाइंड XSS पेलोड का प्रतिक्रिया देखें, जिसमें व्यवस्थापक का सत्र-कुकी होता है।
5. विशेषाधिकार बढ़ाने के लिए व्यवस्थापक कुकी का उपयोग करें।

अनुशंसा: इनपुट को स्वच्छ करें, आउटपुट एन्कोडिंग लागू करें, और CSP लागू करें।