CVE-2025-29015 - Internet Banking System 2.0.0 中 pages_account.php 存储型XSS

描述

Code Astro Internet Banking System 2.0.0 中的 /admin/pages_account.php 文件的 name 参数存在一个存储型跨站脚本（Stored XSS）漏洞。恶意JavaScript代码可以被注入并存储在系统中，每当管理员访问受影响的页面时都会执行。这可能导致会话劫持和其他客户端攻击。

受影响组件

• /admin/pages_account.php 中的 name 参数
• 数据被存储并在管理员访问时执行

利用步骤

1. 登录管理面板并导航到**“账户”**部分。

2. 在 name 字段中插入以下 payload 并提交表单：

   //--></SCRIPT>">'><SCRIPT>alert(String.fromCharCode(98, 49, 116, 109, 52, 114));</SCRIPT>

3. 当用户访问任何页面或菜单时，payload 将被触发。

影响

• 会话劫持
• 钓鱼攻击
• 以管理员身份执行任意操作

缓解措施

• 实施适当的输入清理（例如，转义特殊字符）。
• 使用内容安全策略（CSP）限制脚本执行。
• 在存储用户输入之前进行验证和编码。

参考文献

• OWASP XSS 指南