sacx-7/cve-2025-50866Scripting entre Sites (XSS)
CloudClassroom-PHP-Project 1.0 contém uma vulnerabilidade de Cross-site Scripting (XSS) refletida no parâmetro email do endpoint postquerypublic. A sanitização inadequada permite que um invasor injete código JavaScript arbitrário que é executado no contexto do navegador do usuário, podendo levar ao sequestro de sessão ou ataques de phishing.
Tipo de Vulnerabilidade :
Cross Site Scripting (XSS)
Fornecedor do Produto :
https://github.com/mathurvishal/CloudClassroom-PHP-Project
Base de Código do Produto Afetado :
https://github.com/mathurvishal/CloudClassroom-PHP-Project 1.0 - https://github.com/mathurvishal/CloudClassroom-PHP-Project 1.0
Componente Afetado : postquerypublic.php, parâmetro email na requisição POST
Tipo de Ataque : Remoto
Um invasor pode explorar essa vulnerabilidade enviando uma requisição POST maliciosa para o endpoint vulnerável /CloudClassroom-PHP-Project-master/postquerypublic, injetando JavaScript malicioso através do parâmetro email. A aplicação reflete essa entrada sem sanitização, resultando em XSS refletido.
Implante a aplicação PHP vulnerável localmente (ex.: http://localhost/CloudClassroom-PHP-Project-master/).
Envie a seguinte requisição POST:
POST /CloudClassroom-PHP-Project-master/postquerypublic HTTP/1.1 Host: localhost Content-Type: application/x-www-form-urlencoded
email=[email protected]'"()&%&gnamex=abc&squeryx=123&update=Post%20Query!
Referência https://owasp.org/www-community/attacks/xss/
Descobridor : saurabh
