Skip to content
KitploitKITPLOIT
ツールブログ
提出
ツールブログ
提出

ハッキング、侵入テスト、サイバーセキュリティツールをあなたのセキュリティアーセナルに！

Kitploitはハッキング、サイバーセキュリティ、ペネトレーションテストのツールディレクトリです。最新のプロジェクトアップデートを見つけて、脆弱性の発見、システム分析、テストの自動化、セキュリティの強化を行いましょう。

··フィード·お問い合わせ·プライバシー·© 2026 Kitploit

ツールディレクトリ

カテゴリ

すべてのカテゴリを見る
Loading categories
CVE-2025-69606-GSVoIP-XSS — GSVoIP Web Panel v2.0.90の反射型XSS脆弱性（CVE-2025-69606）の概念実証。msgパラメータを介した認証不要の任意のJavaScript実行を実証します。 | Kitploit
ツール/GitHubGitHub/razielx64/cve-2025-69606-gsvoip-xss
脆弱性分析ウェブアプリケーション悪用フィッシングウェブセキュリティソーシャルエンジニアリング学習と教育
GitHubrazielx64/cve-2025-69606-gsvoip-xss

CVE-2025-69606-GSVoIP-XSS

GSVoIP Web Panel v2.0.90の反射型XSS脆弱性（CVE-2025-69606）の概念実証。msgパラメータを介した認証不要の任意のJavaScript実行を実証します。

リポジトリを見る
54ヶ月前未レビュー

人気

すべて見る →

コミュニティで最も使われているツールを見つけましょう。

すべてのツールを探索

ツールコレクションを閲覧

すべてのツールを見る →
共有

CVE-2025-69606 — GSVoIP Web Panel における反射型 XSS

重要度: 中  |  CWE: CWE-79  |  認証の必要性: 不要  |  攻撃ベクトル: リモート

概要

反射型クロスサイトスクリプティング (XSS) の脆弱性が GSVoIP Web Panel (v2.0.90) で特定されました。エラーのエンドポイントの msg パラメータは、HTML 応答に反映する前にユーザー制御の入力をサニタイズしないため、被害者のブラウザで任意の JavaScript が実行される可能性があります。

影響を受ける製品

フィールド詳細
製品GSVoIP Web Panel
バージョン2.0.90 (以前のバージョンも含む)
ベンダーSolutions VoIP (GS Solutions)
CWECWE-79 — クロスサイトスクリプティング
攻撃ベクトルリモート / ネットワーク
認証不要

脆弱なエンドポイント

root@kitploit:~
GET /painel/gateways.php/error?msg=<ペイロード>

msg パラメータは、サニタイズや出力エンコーディングなしで HTML 応答に直接反映されます。

概念実証

ペイロード

root@kitploit:~
https://{TARGET}/painel/gateways.php/error?msg=%3Cscript%3Ealert(1)%3C%2Fscript%3E

デコード:

root@kitploit:~
<script>alert(1)</script>

結果

細工された URL にアクセスすると、注入されたペイロードが被害者のブラウザで実行されます:

root@kitploit:~
alert(1)

攻撃シナリオ

  1. 攻撃者は、msg パラメータに XSS ペイロードを含む悪意のある URL を作成します。
  2. 被害者は (フィッシング、ソーシャルエンジニアリングなどを介して) リンクをクリックするよう誘導されます。
  3. ページが読み込まれ、注入された JavaScript が被害者のブラウザコンテキストで実行されます — 認証は不要です。

影響

  • 被害者のブラウザでの任意の JavaScript 実行
  • Cookie 盗難によるセッションハイジャック
  • フィッシングおよびソーシャルエンジニアリング攻撃
  • 機密データの漏洩
  • アプリケーションコンテキスト内でのコンテンツ改ざん

推奨事項

  • 出力エンコーディング: HTML 応答でレンダリングする前に、ユーザーが提供したすべての入力をエンコードします (最低でも HTML エンティティエンコーディング)。
  • 安全なテンプレート: 自動エスケープが有効なテンプレートエンジンを使用します。
  • コンテンツセキュリティポリシー (CSP): 制限の厳しい script-src ディレクティブを含む厳格な CSP を実装します。
  • 入力検証: 入力レイヤーで HTML タグやスクリプトシーケンスを含むパラメータを拒否または削除します。

開示スケジュール

ステップイベント
1脆弱性を発見し報告した Luiz Eduardo
2CVE 割り当て: CVE-2025-69606
3公開開示

クレジット

発見・報告者: Luiz Eduardo

CVE-2025-69606 · CWE-79 · GSVoIP Web Panel v2.0.90

ツールをダウンロード