rashidkhanpathan/cve-2022-41445CodeIgnitor를 사용한 교사 기록 관리 시스템의 크로스 사이트 스크립팅
CodeIgniter를 사용하는 교사 기록 관리 시스템의 사이트 간 스크립팅 (XSS)
[제안된 설명] CodeIgniter 1.0을 사용하는 기록 관리 시스템에서의 사이트 간 스크립팅 (XSS) 취약점으로, 공격자가 Add Subject 페이지에 제작된 페이로드를 주입하여 임의의 웹 스크립트나 HTML을 실행할 수 있습니다.
[추가 정보] 개념 증명(PoC): https://phpgurukul.com/teachers-record-management-system-using-codeigniter/
[취약점 유형] 사이트 간 스크립팅 (XSS)
[제품 공급업체] Phpgurukul
[영향받는 제품 코드 베이스] CodeIgniter를 사용하는 교사 기록 관리 시스템 - 1.0
[영향받는 구성 요소] 소스 코드
[공격 유형] 원격
[코드 실행 영향] 예
[공격 벡터] 취약점을 악용하기 위해 공격자는 먼저 관리자 계정으로 로그인한 후, Add Subject 페이지로 이동하여 임의의 JavaScript 페이로드를 추가하고 제출 버튼을 클릭해야 합니다. 과목이 성공적으로 추가되면, 교사 계정으로 로그인하여 사용자 세부 정보로 이동한 후 프로필 보기(Profile View)를 방문하면 페이로드가 실행됩니다.
[참고 자료] https://phpgurukul.com/teachers-record-management-system-using-codeigniter/ https://drive.google.com/file/d/18OjJQA2-8-Hdt0HTMwp4aL_Mp_WuffvL/view?usp=sharing
[발견자] RashidKhan Pathan
Use CVE-2022-41445.
