Vulnerabilidad de cross site scripting en search.php del sistema de gestión de propiedades inmobiliarias code-projects

La vulnerabilidad XSS en Real Estate Property Management System permite a un atacante ejecutar código JavaScript arbitrario en el navegador de un usuario que visite la página vulnerable. Esto podría resultar en el robo de cookies de sesión, la redirección a sitios web maliciosos, o la modificación del contenido de la página web. Un atacante podría, por ejemplo, inyectar un script que capture las credenciales de inicio de sesión de un administrador y enviarlas a un servidor controlado por el atacante. La exposición pública de esta vulnerabilidad aumenta significativamente el riesgo de explotación, especialmente si el sistema se utiliza para gestionar información sensible de clientes o propiedades.

Organizations utilizing the Real Estate Property Management System, particularly those with publicly accessible instances and limited input validation measures, are at risk. Shared hosting environments where multiple users share the same server resources are also particularly vulnerable, as a compromise of one user's account could potentially impact others.

• php / web:

 grep -r "PropertyName" /var/www/html/search.php | grep -i "<script"

• generic web:

curl -I https://example.com/search.php?PropertyName=<script>alert(1)</script> | grep -i "alert(1)"

1. 2025-02-12Disclosure

   disclosure

1. Reservado2025-02-10
2. Publicada2025-02-12
3. Modificada2025-02-16
4. EPSS actualizado2026-04-02

La mitigación principal para esta vulnerabilidad es actualizar a la versión 1.0.1 del Real Estate Property Management System. Si la actualización no es inmediatamente posible, considere implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario en el archivo /search.php. Implementar una Web Application Firewall (WAF) con reglas para detectar y bloquear ataques XSS también puede ayudar a reducir el riesgo. Monitorear los registros de acceso y error en busca de patrones sospechosos, como solicitudes con caracteres inusuales en el parámetro PropertyName, es crucial.