یک آسیب‌پذیری از نوع Reflected Cross-Site Scripting (XSS) در سیستم مدیریت دانشجویان ningzichun (تا نسخه 98760f5711cf6dc8b4adca53a9e207ca49b02ebf) شناسایی شده است. این نقص امنیتی در تابع echo در فایل admin/fun/addLog.php قرار دارد.
جزئیات فنی آسیب‌پذیری
این مشکل به دلیل عدم اعتبارسنجی مناسب آرگومان‌های reason و detail رخ می‌دهد که به مهاجم اجازه می‌دهد اسکریپت‌های دلخواه خود را به مرورگر کاربر تزریق کند. ویژگی‌های این آسیب‌پذیری به شرح زیر است:
- بردار حمله (Attack Vector): شبکه (Network)
- تعامل کاربر (User Interaction): مورد نیاز است (کاربر باید روی یک لینک مهندسی شده کلیک کند)
- دسترسی مورد نیاز: بدون نیاز به احراز هویت (Unauthenticated)
- تاثیرات: تاثیر محدود بر محرمانگی و یکپارچگی داده‌ها (Integrity/Confidentiality) بدون تاثیر بر در دسترس بودن سرویس (Availability)
وضعیت فعلی و ریسک
کد اکسپلویت (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده است و می‌تواند توسط مهاجمان برای اجرای حملات از راه دور مورد استفاده قرار گیرد. با وجود گزارش‌های ارسالی به توسعه‌دهندگان پروژه، تا این لحظه پاسخی برای رفع این مشکل دریافت نشده است. امتیاز CVSS 4.0 برای این آسیب‌پذیری 5.3 (Medium) تعیین شده است.
