Vulnerabilidad de cross site scripting en add-note.php de la aplicación SourceCodester Sticky Notes

Un atacante puede explotar esta vulnerabilidad XSS manipulando los parámetros noteTitle o noteContent en la solicitud al archivo endpoint/add-note.php. Esto permite la inyección de código JavaScript arbitrario en la página web, que se ejecutará en el navegador de la víctima. El impacto puede variar desde el robo de cookies y credenciales hasta la redirección a sitios web maliciosos o la modificación del contenido de la página. La ejecución de código en el contexto del usuario comprometido puede facilitar el acceso a información sensible o el control de la aplicación.

Organizations and individuals using the SourceCodester Sticky Notes App version 1.0 are at risk. This includes users who rely on the application for note-taking and task management, particularly those who share notes or integrate the application with other systems. Shared hosting environments where multiple users share the same instance of the application are also at increased risk.

• php: Examine access logs for requests to /add-note.php with unusual or excessively long noteTitle/noteContent parameters. Look for patterns indicative of XSS payloads (e.g., <script> tags, event handlers).

grep -i '<script' /var/log/apache2/access.log | grep /add-note.php

• generic web: Use curl to test the /add-note.php endpoint with a simple XSS payload in the noteTitle parameter (e.g., <script>alert('XSS')</script>). Verify that the payload is reflected in the response.

curl -X POST -d "noteTitle=<script>alert('XSS')</script>&noteContent=test" http://your-sticky-notes-app/add-note.php

1. 2023-10-26Disclosure

   disclosure

1. Reservado2023-10-26
2. Publicada2023-10-26
3. Modificada2024-08-02
4. EPSS actualizado2026-04-02

La mitigación principal es actualizar la aplicación Sticky Notes App a la versión 1.0.1, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas del usuario en el lado del servidor. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan patrones de inyección de scripts. Verifique que la actualización se haya realizado correctamente revisando la versión instalada de la aplicación.