CVE-2025-29015 - Internet Banking System 2.0.0 の pages_account.php における保存型XSS

説明

Code Astro Internet Banking System 2.0.0 の /admin/pages_account.php にある name パラメータに 保存型クロスサイトスクリプティング (XSS) の脆弱性が存在します。悪意のあるJavaScriptコードが注入されシステムに保存され、管理者が影響を受けるページを閲覧するたびに実行されます。これにより、セッションハイジャックやその他のクライアントサイド攻撃につながる可能性があります。

影響を受けるコンポーネント

• /admin/pages_account.php の name パラメータ
• データは保存され、管理者がアクセスすると実行されます

悪用手順

1. 管理パネルにログインし、「アカウント」 セクションに移動します。

2. name フィールドに以下のペイロードを挿入し、フォームを送信します：

   //--></SCRIPT>">'><SCRIPT>alert(String.fromCharCode(98, 49, 116, 109, 52, 114));</SCRIPT>

3. ユーザーが任意のページやメニューにアクセスすると、ペイロードがトリガーされます。

影響

• セッションハイジャック
• フィッシング攻撃
• 管理者権限での任意の操作

緩和策

• 適切な入力サニタイズ（例：特殊文字のエスケープ）を実装する。
• コンテンツセキュリティポリシー (CSP) を使用してスクリプトの実行を制限する。
• ユーザー入力を保存する前に検証およびエンコードする。

参考

• OWASP XSS ガイド