یک آسیب‌پذیری امنیتی در سیستم حضور و غیاب هوشمند SourceCodester Smart Attendance System with QR Code Scanner نسخه 1.0 شناسایی شده است. این نقص امنیتی در بخش ثبت‌نام خودکار (Self-Registration) و به‌طور مشخص در فایل student_signup.php قرار دارد.
جزئیات فنی آسیب‌پذیری
این مشکل از نوع Cross-Site Scripting (XSS) است که از طریق دستکاری پارامتر full_name رخ می‌دهد. مهاجمان می‌توانند بدون نیاز به احراز هویت (Unauthenticated)، کدهای جاوااسکریپت مخرب را تزریق کنند. این کدها زمانی اجرا می‌شوند که یک کاربر یا مدیر سیستم، صفحه‌ای را که حاوی نام دستکاری شده است، در مرورگر خود باز کند.
تحلیل ریسک و بهره‌برداری
- نوع حمله: تزریق کد از راه دور (Remote Exploitation).
- شرط اجرا: قربانی باید محتوای تزریق شده را در مرورگر خود رندر (Render) کند.
- وضعیت اکسپلویت: کد اکسپلویت (Exploit) برای این آسیب‌پذیری به صورت عمومی منتشر شده است، هرچند گزارش‌های تایید شده‌ای مبنی بر بهره‌برداری گسترده در محیط‌های عملیاتی وجود ندارد.
با توجه به اینکه این آسیب‌پذیری در سطح کاربر و مدیر اثر می‌گذارد، می‌تواند منجر به سرقت نشست‌ها (Session Hijacking) یا تغییر در رابط کاربری برای فریب کاربران شود.
