CVE-2024-51430

脆弱性タイプ

クロスサイトスクリプティング（XSS）

説明

PHP v.1.0を使用したオンライン診断ラボ管理システムにおけるクロスサイトスクリプティングの脆弱性により、リモートの攻撃者がdiagnostic/add-test.phpコンポーネントのTest Nameパラメータを介して任意のコードを実行できる可能性があります。

製品ベンダー

Sourcecodester

影響を受ける製品コードベース:

https://www.sourcecodester.com/php/15667/online-diagnostic-lab-management-system-using-php-and-mysql-free-download.html - 1.0

影響を受けるコンポーネント:

diagnostic/add-test.phpページの「Test Name」パラメータに脆弱性が存在します。

攻撃ベクトル:

Online Diagnostic Lab Management Systemには、Borrowerセクションにクロスサイトスクリプティング（XSS）と呼ばれるセキュリティ問題があります。これは、システムがユーザー入力を適切にサニタイズせず、悪意のあるJavaScriptコードが追加される可能性があるために発生します。例えば、誰かが「Test Name」フィールドに<script>alert(1)</script>を入力すると、システムはこのコードを保存します。「Manage Test」セクションに再アクセスすると、コードが実行され、アラートメッセージが表示されます。これにより、攻撃者は情報を盗んだり、ユーザーのブラウザで許可されていないアクションを実行したりする可能性があります。

再現手順:

1. コンピュータでOnline Diagnostic Lab Management Systemを開きます。
2. 提供された認証情報でアプリケーションにログインします。
3. 「Test」サブメニューに移動し、「Add Test」をクリックします。
4. 「Test Name」フィールドにXSSペイロード「」を入力します。
5. 送信後、「Manage Test」をクリックすると、ページにJavaScriptアラートがポップアップ表示されます。

参考:

1. https://www.sourcecodester.com/
2. https://owasp.org/www-project-top-ten/2017/A7_2017-Cross-Site_Scripting_(XSS)