🛡️ CVE 披露：CVE-2025-51411 — Institute-of-Current-Students 中的反射型 XSS

披露日期： 2025年7月25日
CVE ID： CVE-2025-51411
严重性： 中危 (CVSS 6.1)

🧩 概述

Institute-of-Current-Students v1.0 项目的 postquerypublic 端点存在一个反射型跨站脚本 (XSS) 漏洞。email 参数中的未经清理输入直接反射回响应 HTML 中，允许攻击者在访问恶意链接或提交精心构造请求的用户浏览器中执行任意 JavaScript。

此问题已被分配标识符 CVE-2025-51411。在披露时，尚未发布供应商的补丁。

📦 受影响产品

• 供应商： 独立开发者 (mathurvishal)
• 项目： Institute-of-Current-Students---PHP-Project
• 版本： v1.0
• 文件： postquerypublic
• 漏洞端点： http://localhost/Institute-of-Current-Students/postquerypublic

🔬 漏洞详情

服务器未能正确清理 POST 数据中的 email 参数，就将其反射回响应 HTML 中。这允许攻击者注入 JavaScript 负载，导致客户端代码执行。

漏洞代码模式 (假设)：

$email = $_POST['email'];
echo "<div>Email: $email</div>";

📌 CWE 分类

📊 CVSS v3.1 评分

💥 影响

成功利用可能导致：

• 🧠 任意 JavaScript 执行
• 🎭 通过 HTML 注入进行钓鱼或冒充
• 🍪 会话劫持或令牌窃取
• 🚨 强制重定向或恶意软件投递

🧪 概念验证 (PoC)

📥 示例请求

POST /Institute-of-Current-Students/postquerypublic HTTP/1.1
Host: localhost
Content-Type: application/x-www-form-urlencoded

email=testing%40example.com'"()%26%25<zzz><ScRiPt%20>IZwW(9455)</ScRiPt>&gnamex=pHqghUme&squeryx=555&update=Post%20Query!

📋 注入负载

<ScRiPt >IZwW(9455)</ScRiPt>

如果服务器反射 email 值时未进行清理，该负载将被执行。

🔐 建议

• ✅ 使用 htmlspecialchars() 或等效方法对所有不可信输出进行编码，然后再渲染为 HTML。
• 🧰 对所有表单输入实施服务器端输入验证。
• 🧱 设置严格的内容安全策略 (CSP) 头部。
• 🚫 避免直接将未经清理的用户输入嵌入 HTML 响应中。

✅ 修复示例

$email = htmlspecialchars($_POST['email'], ENT_QUOTES, 'UTF-8');

📆 时间线

🙋‍♂️ 致谢

此漏洞由以下人员发现并披露：

Tansique Dasari 🔗 GitHub ✉️ [email protected]

🔗 参考链接

• OWASP - XSS
• CWE-79 - XSS 分类
• GitHub - Institute-of-Current-Students
• CVE-2025-51411 on CVE.org

💬 本公告因缺乏官方供应商补丁而独立发布。