CVE-2025-29015 - इंटरनेट बैंकिंग सिस्टम 2.0.0 में pages_account.php में संग्रहीत XSS

विवरण

Code Astro Internet Banking System 2.0.0 में /admin/pages_account.php में name पैरामीटर के माध्यम से एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) कमजोरी मौजूद है। दुर्भावनापूर्ण JavaScript कोड को सिस्टम में इंजेक्ट और संग्रहीत किया जा सकता है, जो जब भी कोई व्यवस्थापक प्रभावित पृष्ठ देखता है तो निष्पादित हो जाता है। इससे सत्र अपहरण और अन्य क्लाइंट-साइड हमले हो सकते हैं।

प्रभावित घटक

• /admin/pages_account.php में name पैरामीटर
• डेटा संग्रहीत किया जाता है और जब व्यवस्थापक द्वारा एक्सेस किया जाता है तो निष्पादित होता है

शोषण के चरण

1. व्यवस्थापक पैनल में लॉग इन करें और "खाता" अनुभाग पर जाएं।

3. name फ़ील्ड में निम्नलिखित पेलोड डालें और फॉर्म सबमिट करें:

   //--></SCRIPT>">'><SCRIPT>alert(String.fromCharCode(98, 49, 116, 109, 52, 114));</SCRIPT>

3. जब उपयोगकर्ता किसी भी पृष्ठ या मेनू पर जाता है, तो पेलोड ट्रिगर हो जाएगा।

प्रभाव

• सत्र अपहरण
• फ़िशिंग हमले
• व्यवस्थापक की ओर से मनमानी कार्रवाइयाँ

शमन

• उचित इनपुट स्वच्छता लागू करें (जैसे, विशेष वर्णों को एस्केप करना)।
• स्क्रिप्ट निष्पादन को सीमित करने के लिए सामग्री सुरक्षा नीति (CSP) का उपयोग करें।
• इसे संग्रहीत करने से पहले उपयोगकर्ता इनपुट को मान्य और एन्कोड करें।

संदर्भ

• OWASP XSS गाइड