Computer Laboratory Management System using PHP and MySQL 1.0

제출자: Kha Do

취약점

크로스 사이트 스크립팅(XSS)

설명

Computer Laboratory Management System using PHP and MySQL 1.0의 /php-lms/classes/Users.php?f=save에서 발견된 크로스 사이트 스크립팅(XSS) 취약점으로 인해 원격 공격자가 firstname, middlename, lastname 매개변수를 통해 임의의 웹 스크립트 또는 HTML을 주입할 수 있습니다.

영향을 받는 구성 요소

경로 URL: /php-lms/classes/Users.php?f=save

매개변수: firstname, middlename, lastname

PoC

firstname 매개변수에 페이로드 <script>alert(123)</script>를 입력하고 저장합니다.

저장하면 다음과 같은 팝업 창이 나타납니다: