CVE-2024-51430

Tipo di vulnerabilità

Cross-Site Scripting (XSS)

Descrizione

Una vulnerabilità di Cross Site Scripting nel sistema di gestione del laboratorio diagnostico online che utilizza PHP v.1.0 consente a un attaccante remoto di eseguire codice arbitrario tramite il parametro Nome Test sul componente diagnostic/add-test.php

Vendor del prodotto

Sourcecodester

Base del codice del prodotto affetto:

https://www.sourcecodester.com/php/15667/online-diagnostic-lab-management-system-using-php-and-mysql-free-download.html - 1.0

Componente affetto:

Il parametro "Nome Test" sulla pagina diagnostic/add-test.php è vulnerabile.

Vettori di attacco:

Il Sistema di Gestione del Laboratorio Diagnostico Online presenta un problema di sicurezza chiamato Cross-Site Scripting (XSS) nella sezione Mutuatario. Ciò accade perché il sistema non pulisce correttamente gli input degli utenti, consentendo l'aggiunta di codice JavaScript dannoso. Ad esempio, se qualcuno inserisce <script>alert(1)</script> nel campo "Nome Test", il sistema memorizza questo codice. Quando la sezione "Gestisci Test" viene rivisitata, il codice viene eseguito e mostra un messaggio di avviso. Questo potrebbe consentire agli attaccanti di rubare informazioni o eseguire azioni non autorizzate nel browser dell'utente.

Passaggi per riprodurre:

1. Aprire il Sistema di Gestione del Laboratorio Diagnostico Online sul proprio computer.
2. Accedere all'applicazione con le credenziali fornite.
3. Andare al sottomenu "Test" e cliccare su "Aggiungi Test".
4. Compilare il campo "Nome Test" con il payload XSS, ovvero "".
5. Una volta inviato, cliccare su "Gestisci Test" e si vedrà il pop-up di avviso JavaScript apparire sulla pagina.

Riferimenti:

1. https://www.sourcecodester.com/
2. https://owasp.org/www-project-top-ten/2017/A7_2017-Cross-Site_Scripting_(XSS)