🛡️ Divulgação de CVE: CVE-2025-51411 — XSS Refletido no Institute-of-Current-Students

Data de Divulgação: 25 de julho de 2025
ID do CVE: CVE-2025-51411
Severidade: MÉDIA (CVSS 6.1)

---

🧩 Resumo

Existe uma vulnerabilidade de Cross-Site Scripting (XSS) refletido no projeto Institute-of-Current-Students v1.0, especificamente no endpoint postquerypublic. A entrada não sanitizada no parâmetro email é refletida diretamente no HTML da resposta, permitindo que atacantes executem JavaScript arbitrário no navegador de um usuário que visita um link malicioso ou envia uma solicitação manipulada.

A este problema foi atribuído o identificador CVE-2025-51411. No momento da divulgação, nenhum patch foi lançado pelo fornecedor.

---

📦 Produto Afetado

• Fornecedor: Independente (mathurvishal)
• Projeto: Institute-of-Current-Students---PHP-Project
• Versão: v1.0
• Arquivo: postquerypublic
• Endpoint Vulnerável:
  http://localhost/Institute-of-Current-Students/postquerypublic

---

🔬 Detalhes da Vulnerabilidade

O servidor não sanitiza adequadamente o parâmetro email dos dados POST antes de refleti-lo no HTML da resposta. Isso permite que atacantes injetem payloads JavaScript, levando à execução de código no lado do cliente.

Padrão de Código Vulnerável (hipotético):

$email = $_POST['email'];
echo "<div>Email: $email</div>";

---

📌 Classificação CWE

CWE ID	Título
CWE-79	Neutralização Incorreta de Entrada Durante a Geração de Páginas Web ('Cross-site Scripting')

---

📊 Pontuação CVSS v3.1

Pontuação	Severidade	String do Vetor
6.1	MÉDIA	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

---

💥 Impacto

Uma exploração bem-sucedida pode resultar em:

• 🧠 Execução de JavaScript arbitrário
• 🎭 Phishing ou personificação via injeção de HTML
• 🍪 Sequestro de sessão ou roubo de tokens
• 🚨 Redirecionamento forçado ou distribuição de malware

---

🧪 Prova de Conceito (PoC)

📥 Exemplo de Requisição

POST /Institute-of-Current-Students/postquerypublic HTTP/1.1
Host: localhost
Content-Type: application/x-www-form-urlencoded

email=testing%40example.com'"()%26%25<zzz><ScRiPt%20>IZwW(9455)</ScRiPt>&gnamex=pHqghUme&squeryx=555&update=Post%20Query!

📋 Payload Injetado

<ScRiPt >IZwW(9455)</ScRiPt>

Este payload é executado se o servidor refletir o valor do email sem sanitização.

---

🔐 Recomendações

• ✅ Use htmlspecialchars() ou equivalente para codificar toda saída não confiável antes de renderizá-la em HTML.
• 🧰 Implemente validação de entrada no lado do servidor para todas as entradas de formulário.
• 🧱 Configure cabeçalhos fortes de Content Security Policy (CSP).
• 🚫 Evite incorporar diretamente entradas de usuário não sanitizadas em respostas HTML.

✅ Exemplo de Correção

$email = htmlspecialchars($_POST['email'], ENT_QUOTES, 'UTF-8');

---

📆 Linha do Tempo

Evento	Data
Vulnerabilidade Descoberta	18 de julho de 2025
Divulgação Pública	25 de julho de 2025
Patch Disponível	❌ Não disponível até a divulgação

---

🙋‍♂️ Créditos

Esta vulnerabilidade foi descoberta e divulgada por:

Tansique Dasari
🔗 GitHub
✉️ [email protected]

---

🔗 Referências

• OWASP - XSS
• CWE-79 - Classificação XSS
• GitHub - Institute-of-Current-Students
• CVE-2025-51411 no CVE.org

---

💬 Este aviso é publicado de forma independente, devido à ausência de um patch oficial do fornecedor.