SourceCodester Monitoring of Students Cyber Accounts System 1.0 POST Parameter index.php id Cross Site Scripting
Eine problematische Schwachstelle wurde in SourceCodester Monitoring of Students Cyber Accounts System 1.0 entdeckt. Hierbei geht es um eine nicht exakt ausgemachte Funktion der Datei modules/balance/index.php?view=balancelist der Komponente POST Parameter Handler. Durch das Beeinflussen des Arguments id mit der Eingabe "><script>alert(111)</script>
mit unbekannten Daten kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-79. Der Fehler wurde am 18.03.2023 veröffentlicht. Das Advisory kann von github.com heruntergeladen werden.
Die Identifikation der Schwachstelle findet als CVE-2023-1481 statt. Umgesetzt werden kann der Angriff über das Netzwerk. Es sind technische Details verfügbar. Desweiteren ist ein Exploit verfügbar. Der Exploit steht zur öffentlichen Verfügung. Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1059.007.
Er gilt als proof-of-concept. Der Exploit wird unter github.com bereitgestellt. Während seiner Zeit als 0-Day erzielte er wohl etwa $0-$5k auf dem Schwarzmarkt.
Das Erscheinen einer Gegenmassnahme geschah vor und nicht erst nach der Veröffentlichung der Schwachstelle.