Componente Afetado

Arquivo: PersonalAGS/index.php?action=register (Registro de Estudante)
Parâmetros: student_id, full_name, section, username (POST)
Acionado em: PersonalAGS/index.php?action=dashboard (Painel do Administrador)

Descrição

O portal de auto-registro de estudantes no CET Automated Grading System 1.0 não sanitiza nem codifica a entrada fornecida pelo usuário antes de armazená-la no banco de dados. Um atacante não autenticado pode registrar uma conta de estudante com payloads de JavaScript injetados em qualquer campo de registro. O payload malicioso é armazenado no banco de dados e é executado no navegador de qualquer administrador que visite o painel onde os estudantes matriculados são listados.

Esta é uma cadeia de ataque crítica — nenhuma autenticação é necessária para injetar o payload, mas ele é executado em um contexto administrativo privilegiado, permitindo o roubo de cookies de sessão e a tomada total da conta do administrador.

Prova de Conceito

Passo 1 — Navegue até o Registro de Estudante (Sem Autenticação Necessária)

Navegue até a página pública de auto-registro de estudantes:

Passo 2 — Injete o Payload de XSS nos Campos de Registro

Preencha todos os campos com payloads de XSS e clique em Registrar Conta:

• Número de Identificação do Estudante: "><svg onload=alert(1)>
• Nome Completo: "><svg onload=alert(1)>
• Seção: "><svg onload=alert(1)>
• Nome de Usuário Desejado: "><svg onload=alert(1)>

O registro é concluído com sucesso — os payloads são armazenados no banco de dados.

Passo 3 — O XSS é Acionado no Painel do Administrador

Quando o administrador faz login e visita o painel, o payload injetado é executado imediatamente. O popup de alerta é acionado e o layout da página fica visivelmente quebrado pelo HTML injetado — confirmando que o payload é renderizado sem sanitização no painel administrativo.

Os cabeçalhos das seções do painel também refletem os valores injetados:

• 1ST YEAR - SECTION 1ST YEAR" ONMOUSEOVE
• 3RD YEAR - SECTION " ONLOAD=ALERT(1) X=

Payload de Sequestro de Sessão

Um atacante pode escalar isso para o sequestro total da sessão do administrador usando o seguinte payload nos campos de registro:

Configure um listener na máquina do atacante:

Quando o administrador visita o painel, o cookie de sessão é enviado ao servidor do atacante, permitindo a tomada completa da conta.

Impacto

Um atacante não autenticado pode:

• Injetar JavaScript persistente no painel do administrador por meio do registro público de estudantes
• Roubar o cookie de sessão do administrador e assumir a conta do administrador
• Executar qualquer ação administrativa em nome da vítima
• Redirecionar administradores para páginas maliciosas
• Desfigurar o painel do administrador

Nenhuma autenticação é necessária para injetar o payload. O ataque é executado automaticamente quando qualquer administrador visita o painel.

Referências

• SourceCodester — CET Automated Grading System
• CWE-79: Neutralização Incorreta de Entrada Durante a Geração de Páginas Web.