CVE-2024-51430

漏洞类型

跨站脚本（XSS）

描述

使用php v1.0的在线诊断实验室管理系统存在跨站脚本漏洞，远程攻击者可通过diagnostic/add-test.php组件上的Test Name参数执行任意代码

供应商

Sourcecodester

受影响产品代码库：

https://www.sourcecodester.com/php/15667/online-diagnostic-lab-management-system-using-php-and-mysql-free-download.html - 1.0

受影响组件：

diagnostic/add-test.php页面上的"Test Name"参数存在漏洞。

攻击向量：

在线诊断实验室管理系统在测试部分存在一个名为跨站脚本（XSS）的安全问题。这是由于系统未正确清理用户输入，允许添加有害的JavaScript代码。例如，如果在"Test Name"字段中输入<script>alert(1)</script>，系统会存储此代码。当"管理测试"部分被重新访问时，代码会执行并显示一个警告消息。这可能导致攻击者在用户浏览器中窃取信息或执行未授权操作。

复现步骤：

1. 在您的计算机上打开在线诊断实验室管理系统。
2. 使用提供的凭据登录应用程序。
3. 进入"测试"子菜单，点击"添加测试"。
4. 在"测试名称"字段中输入XSS载荷，即""。
5. 提交后，点击"管理测试"，您将在页面上看到JavaScript警告弹窗。

参考：

1. https://www.sourcecodester.com/
2. https://owasp.org/www-project-top-ten/2017/A7_2017-Cross-Site_Scripting_(XSS)