PHP 및 MySQL을 사용한 컴퓨터 실험실 관리 시스템 1.0

제출자: Kha Do

취약점

크로스 사이트 스크립팅

설명

PHP 및 MySQL을 사용한 컴퓨터 실험실 관리 시스템 1.0의 php-lms/admin/?page=system_info에 있는 크로스 사이트 스크립팅 취약점으로 인해 원격 공격자가 name, shortname 매개변수를 통해 임의의 웹 스크립트 또는 HTML을 주입할 수 있습니다.

영향을 받는 구성 요소

경로 URL: php-lms/admin/?page=system_info

매개변수: 시스템 이름 (name), 시스템 짧은 이름 (shortname)

개념 증명 (POC)

시스템 이름 name에 페이로드 <script>alert(1337)</script>를 입력하고 저장합니다.

저장 후 다음과 같은 팝업 창이 나타납니다: