CVE-2023-49986

School Fees Management System v1.0 - "add_new_parent"组件中"name"参数的跨站脚本（XSS）漏洞

描述: School Fees Management System 1.0的"add_new_parent"组件中存在一个跨站脚本（XSS）漏洞，攻击者可通过构造的恶意有效载荷注入"name"参数，从而执行任意Web脚本或HTML。

受影响产品版本: School Fees Management System v1.0
CVE作者: Geraldo Alcântara
日期: 2023年11月28日
确认日期: 2023年12月19日
CVE编号: CVE-2023-49986
测试环境: Windows

复现步骤:

要利用此漏洞，拥有适当权限的用户必须访问"/ci_fms/admin/parent"页面。在此页面上，用户需添加一个新家长。恶意有效载荷需要插入到'name'或'email'参数中。 有效载荷:

<script>alert(document.domain)</script>

发现者/致谢:
Geraldo Alcântara