CVE-2025-29018 - Internet Banking System 2.0.0 存储型XSS漏洞（pages_add_acc_type.php）

描述

Code Astro Internet Banking System 2.0.0 存在一个存储型跨站脚本（XSS）漏洞，原因是 pages_add_acc_type.php 中的 name 参数未经过净化处理。攻击者可以存储恶意 JavaScript，每当页面被加载时，该脚本就会执行。

受影响组件

• pages_add_acc_type.php 中的 name 参数
• JavaScript 在管理面板视图中执行

利用步骤

1. 导航到 "Add Acc Type"（添加账户类型）。

2. 在账户类别名称 (name parameter) 字段中输入以下载荷并提交表单：

   b1tm4rxss<script>alert("b1tm4r XSS");</script>

3. 当管理员或用户访问"Manage Acc Types"（管理账户类型）菜单时，该载荷就会被触发。

影响

• 会话劫持
• 凭据窃取
• 账户接管

缓解措施

• 对用户输入实施 HTML 实体编码。
• 使用 CSP 阻止内联脚本执行。
• 验证并净化所有输入字段。

参考

• CWE-79: 输入的不当中和（跨站脚本）