Plattform
php
Komponente
hajimi
Behoben in
1.0.1
CVE-2026-5106 describes a cross-site scripting (XSS) vulnerability discovered in the Exam Form Submission component, specifically within the /admin/update_fst.php file. Successful exploitation allows an attacker to inject malicious scripts into web pages viewed by other users, potentially leading to session hijacking or defacement. This vulnerability affects version 1.0 of the component and is remotely exploitable. An exploit for this vulnerability has been published, indicating a potential risk.
CVE-2026-5106 betrifft die Anwendung 'Exam Form Submission' Version 1.0, insbesondere eine unbekannte Funktion innerhalb der Datei /admin/update_fst.php. Die Schwachstelle liegt in der Manipulation des Arguments 'sname', was zu einer Cross-Site Scripting (XSS)-Schwachstelle führt. Dies bedeutet, dass ein Angreifer bösartigen Code in die Anwendung injizieren kann, der dann im Browser anderer Benutzer ausgeführt wird, wodurch er sensible Informationen stehlen, Benutzer imitieren oder sie auf bösartige Websites umleiten kann. Das Risiko ist hoch, da die Ausnutzung aus der Ferne möglich ist und ein Exploit veröffentlicht wurde, was seine Verwendung durch Angreifer erleichtert. Das Fehlen einer verfügbaren Behebung verschärft die Situation und erfordert sofortige Aufmerksamkeit.
CVE-2026-5106 wird durch die Manipulation des Parameters 'sname' in /admin/update_fst.php ausgenutzt. Ein Angreifer kann eine bösartige HTTP-Anfrage an diese Datei senden und JavaScript-Code innerhalb des Werts von 'sname' injizieren. Aufgrund des Fehlens einer ordnungsgemäßen Validierung oder Maskierung dieses Parameters wird der injizierte Code gespeichert und ausgeführt, wenn ein anderer Benutzer die Seite besucht, die Daten im Zusammenhang mit 'sname' anzeigt. Die Veröffentlichung eines öffentlichen Exploits bedeutet, dass Angreifer eine Schritt-für-Schritt-Anleitung haben, um den Angriff durchzuführen, was das Risiko einer Ausnutzung erheblich erhöht. Die Fernnatur der Schwachstelle bedeutet, dass sie von überall aus ausgenutzt werden kann, wo Zugriff auf die Anwendung besteht.
Administrators and users with access to the /admin/update_fst.php endpoint are at risk. Shared hosting environments where multiple applications share the same server are particularly vulnerable, as a compromise of one application could potentially lead to the exploitation of this vulnerability in others.
• php / web:
grep -r 'sname' /var/www/exam_form_submission/admin/update_fst.php• generic web:
curl -I http://your-exam-form-submission-url.com/admin/update_fst.php?sname=<script>alert(1)</script>• generic web: Examine access logs for requests to /admin/update_fst.php containing suspicious characters in the 'sname' parameter (e.g., <script>, <img src=x onerror=alert(1)>).
disclosure
Exploit-Status
EPSS
0.03% (8% Perzentil)
CISA SSVC
CVSS-Vektor
Da kein offizielles Fix (fix: none) bereitgestellt wurde, konzentriert sich die unmittelbare Abschwächung auf präventive Maßnahmen. Es wird dringend empfohlen, die betroffene Funktionalität in /admin/update_fst.php zu deaktivieren, bis eine Lösung implementiert ist. Darüber hinaus ist die Implementierung einer robusten Eingangsfilterung für das Argument 'sname', wobei alle potenziell gefährlichen Zeichen validiert und maskiert werden, entscheidend. Die aktive Überwachung der Serverprotokolle auf verdächtige Aktivitäten im Zusammenhang mit der Manipulation von 'sname' ist unerlässlich. Erwägen Sie die Verwendung einer Web Application Firewall (WAF), um XSS-Angriffe zu erkennen und zu blockieren. Stellen Sie abschließend sicher, dass die Serversoftware und alle Abhängigkeiten auf dem neuesten Stand gehalten werden, um andere Schwachstellen zu entschärfen, die möglicherweise in Kombination ausgenutzt werden könnten.
Actualizar a una versión parcheada o aplicar las medidas de seguridad necesarias para evitar la inyección de código malicioso a través del parámetro 'sname' en el archivo '/admin/update_fst.php'. Validar y limpiar las entradas del usuario para prevenir ataques de Cross-Site Scripting (XSS).
Schwachstellenanalysen und kritische Warnungen direkt in deinen Posteingang.
XSS (Cross-Site Scripting) ist eine Art von Sicherheitslücke, die es Angreifern ermöglicht, bösartige Skripte in Webseiten einzuschleusen, die von anderen Benutzern aufgerufen werden.
Es bedeutet, dass derzeit keine offizielle Lösung oder ein Patch vom Entwickler für diese Schwachstelle bereitgestellt wurde.
Wenn Sie 'Exam Form Submission' Version 1.0 verwenden, sind Sie wahrscheinlich betroffen. Überwachen Sie die Serverprotokolle auf verdächtige Aktivitäten und führen Sie Penetrationstests durch.
Eine WAF (Web Application Firewall) ist ein Sicherheitstool, das Webanwendungen vor häufigen Angriffen wie XSS und SQL-Injection schützt.
Isolieren Sie das betroffene System, ändern Sie alle Benutzerpasswörter und führen Sie eine umfassende Sicherheitsprüfung durch.
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.