rashidkhanpathan/cve-2022-41445Cross Site Scripting nel Sistema di Gestione dei Registri degli Insegnanti usando CodeIgnitor
Cross Site Scripting nel sistema di gestione delle registrazioni degli insegnanti che utilizza CodeIgnitor
[Descrizione suggerita] Una vulnerabilità di cross-site scripting (XSS) nel Record Management System che utilizza CodeIgniter 1.0 consente agli attaccanti di eseguire script web arbitrari o HTML tramite un payload manipolato iniettato nella pagina Aggiungi Soggetto.
[Informazioni aggiuntive] Prova di concetto: https://phpgurukul.com/teachers-record-management-system-using-codeigniter/
[Tipo di vulnerabilità] Cross Site Scripting (XSS)
[Fornitore del prodotto] Phpgurukul
[Base del codice prodotto affetto] Teachers Record Management System che utilizza CodeIgniter - 1.0
[Componente affetto] Codice sorgente
[Tipo di attacco] Remoto
[Esecuzione di codice d'impatto] true
[Vettori di attacco] Per sfruttare la vulnerabilità, l'attaccante deve prima accedere con un account amministratore, quindi andare alla pagina Aggiungi Soggetto. Nella pagina Aggiungi Soggetto, l'attaccante deve aggiungere il payload JavaScript arbitrario, quindi fare clic su Invia. Una volta che il soggetto è stato aggiunto con successo, accedere con un account insegnante e andare a Dettagli Utente, quindi Visualizza Profilo. Una volta visitata la Visualizza Profilo, il payload verrà eseguito.
[Riferimento] https://phpgurukul.com/teachers-record-management-system-using-codeigniter/ https://drive.google.com/file/d/18OjJQA2-8-Hdt0HTMwp4aL_Mp_WuffvL/view?usp=sharing
[Scopritore] RashidKhan Pathan
Usa CVE-2022-41445.
