CVE-2023-49987

School Fees Management System v1.0 - 在 "new_term" 的 "tname" 参数中存在跨站脚本（XSS）漏洞

描述: School Fees Management System 1.0 的 "new_term" 组件存在跨站脚本（XSS）漏洞，攻击者可通过向 "tname" 参数注入精心构造的有效载荷来执行任意 web 脚本或 HTML。

受影响产品版本: School Fees Management System v1.0
CVE 作者: Geraldo Alcântara
日期: 2023/11/28
确认日期: 2023/12/19
CVE: CVE-2023-49987
测试环境: Windows

复现步骤:

要利用此漏洞，具有适当权限的用户必须访问 "/ci_fms/admin/management/term" 页面。在该页面上，用户应编辑现有学期或添加新学期。在此过程中，恶意有效载荷需要被插入到 "tname" 参数中。 有效载荷:

<script>alert(document.domain)</script>

发现者/致谢:
Geraldo Alcântara