CVE-2024-50969

描述

Code-projects Jonnys Liquor 1.0 中 browse.php 存在反射型跨站脚本（XSS）漏洞，远程攻击者可通过 search 参数注入任意 Web 脚本或 HTML。

漏洞类型

跨站脚本 (XSS)

产品供应商

Code-projects

受影响产品代码库：

https://code-projects.org/jonnys-liquor-in-php-css-javascript-and-mysql-free-download/ - 1.0

受影响组件：

browse.php

攻击向量：

1. 在本地搭建应用程序
2. 在浏览器中导航至以下 URL： http://localhost/jonnysLiquor-master/
3. 在应用程序的搜索输入字段中，输入以下 payload： ">
4. 提交输入后，脚本在浏览器中执行，证实存在反射型 XSS 漏洞。

参考：

1. https://code-projects.org/jonnys-liquor-in-php-css-javascript-and-mysql-free-download/
2. https://owasp.org/www-community/attacks/xss/
3. https://portswigger.net/web-security/cross-site-scripting/reflected