PHPとMySQLを使用したコンピュータ実験室管理システム 1.0

投稿者: Kha Do

脆弱性

クロスサイトスクリプティング

説明

PHPとMySQLを使用したコンピュータ実験室管理システム 1.0 の /php-lms/classes/Users.php?f=save におけるクロスサイトスクリプティングの脆弱性により、リモート攻撃者が firstname、middlename、lastname パラメータを介して任意のWebスクリプトまたはHTMLを注入できる可能性があります。

影響を受けるコンポーネント

パスURL: /php-lms/classes/Users.php?f=save

パラメータ: firstname, middlename, lastname

実証コード

ペイロード <script>alert(123)</script> を firstname パラメータ に入力し、保存します。

保存後、以下のようなポップアップウィンドウが表示されます: