PHP और MySQL का उपयोग करने वाला कंप्यूटर लेबोरेटरी प्रबंधन प्रणाली 1.0

प्रस्तुतकर्ता: Kha Do

भेद्यता

क्रॉस साइट स्क्रिप्टिंग

विवरण

PHP और MySQL का उपयोग करने वाले कंप्यूटर लेबोरेटरी प्रबंधन प्रणाली 1.0 में /php-lms/classes/Users.php?f=save में क्रॉस साइट स्क्रिप्टिंग भेद्यता दूरस्थ हमलावरों को firstname, middlename, lastname पैरामीटर के माध्यम से मनमाना वेब स्क्रिप्ट या HTML इंजेक्ट करने की अनुमति देती है।

प्रभावित घटक

पथ URL: /php-lms/classes/Users.php?f=save

पैरामीटर: firstname, middlename, lastname

POC

इनपुट पेलोड <script>alert(123)</script> को firstname पैरामीटर में डालें और इसे सहेजें।

सेव करने के बाद, पॉप-अप विंडो इस प्रकार दिखाई देगी: