rashidkhanpathan/cve-2022-41445CodeIgnitorを使用した教師の記録管理システムにおけるクロスサイトスクリプティング
CodeIgniterを使用した教師レコード管理システムにおけるクロスサイトスクリプティング
[提案された説明] CodeIgniter 1.0を使用したレコード管理システムにおけるクロスサイトスクリプティング（XSS）の脆弱性により、攻撃者は「科目追加」ページに細工されたペイロードを注入して任意のWebスクリプトまたはHTMLを実行できます。
[追加情報] 概念実証: https://phpgurukul.com/teachers-record-management-system-using-codeigniter/
[脆弱性タイプ] クロスサイトスクリプティング（XSS）
[製品ベンダー] Phpgurukul
[影響を受ける製品コードベース] CodeIgniterを使用した教師レコード管理システム - 1.0
[影響を受けるコンポーネント] ソースコード
[攻撃タイプ] リモート
[コード実行への影響] true
[攻撃ベクトル] 脆弱性を悪用するには、攻撃者はまず管理者アカウントでログインし、次に「科目追加」ページに移動する必要があります。その後、「科目追加」ページで攻撃者は任意のJavaScriptペイロードを追加して送信ボタンをクリックします。科目が正常に追加されたら、教師アカウントでログインし、「ユーザー詳細」→「プロフィール表示」に移動します。プロフィール表示にアクセスするとペイロードが実行されます。
[参考文献] https://phpgurukul.com/teachers-record-management-system-using-codeigniter/ https://drive.google.com/file/d/18OjJQA2-8-Hdt0HTMwp4aL_Mp_WuffvL/view?usp=sharing
[発見者] RashidKhan Pathan
CVE-2022-41445 を使用してください。
