Vulnerabilidad de Cross Site Scripting (XSS) en la solicitud HTTP POST Users.php del Sistema de Gestión de Escritorios del Centro de Estudios Estudiantiles SourceCodester

La vulnerabilidad XSS en Student Study Center Desk Management System permite a un atacante ejecutar código JavaScript arbitrario en el navegador de un usuario que visite una página comprometida. Esto podría resultar en el robo de cookies de sesión, la redirección de usuarios a sitios web maliciosos o la modificación del contenido de la página web. Un atacante podría, por ejemplo, inyectar un script que capture las credenciales de inicio de sesión de los estudiantes y enviarlas a un servidor controlado por el atacante. La explotación exitosa de esta vulnerabilidad podría comprometer la información personal de los estudiantes y dañar la reputación de la institución educativa.

Organizations and individuals using the Student Study Center Desk Management System version 1.0 are at risk. This includes educational institutions, libraries, or any entity utilizing this system for desk management. Shared hosting environments where multiple users share the same server instance are particularly vulnerable, as a compromise of one user could potentially impact others.

• php: Examine the /sscdms/classes/Users.php file for improper input sanitization or output encoding. Search for instances where user-supplied data (firstname, middlename, lastname, username) is directly outputted to the page without proper escaping.

// Example of vulnerable code (simplified)
<?php
echo $_GET['firstname']; // Vulnerable to XSS
?>

• generic web: Monitor access logs for requests to /sscdms/classes/Users.php with unusual or suspicious parameters in the firstname, middlename, lastname, or username fields. Look for patterns indicative of XSS attempts (e.g., <script>).

grep 'firstname=.*<script>' access.log

1. 2024-07-17Disclosure

   disclosure

1. Reservado2024-07-16
2. Publicada2024-07-17
3. Modificada2025-06-10
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2024-6807 es actualizar el Student Study Center Desk Management System a la versión 1.0.1, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario en el lado del servidor. Además, se puede considerar el uso de una Web Application Firewall (WAF) para filtrar el tráfico malicioso y bloquear los intentos de explotación. Monitorear los registros de la aplicación en busca de patrones sospechosos también puede ayudar a detectar y responder a los ataques.