Vulnerabilidad de cross site scripting en editQuestion.php del sistema de gestión de entrevistas SourceCodester

Un atacante puede explotar esta vulnerabilidad XSS para inyectar scripts maliciosos en la página web del Interview Management System. Esto podría permitirles robar cookies de sesión, redirigir a los usuarios a sitios web maliciosos, o incluso modificar el contenido de la página web. El impacto potencial es significativo, ya que un atacante podría comprometer la confidencialidad e integridad de los datos del sistema y de los usuarios. La disponibilidad del exploit público aumenta el riesgo de explotación.

Organizations utilizing SourceCodester Interview Management System, particularly those with publicly accessible instances or those lacking robust input validation practices, are at significant risk. Shared hosting environments where multiple users share the same server are also particularly vulnerable, as a compromise of one user's account could potentially impact others.

• php / web:

curl -I 'http://your-interview-system/editQuestion.php?Question=<script>alert(1)</script>' | grep -i 'content-type'

• generic web:

curl -s 'http://your-interview-system/editQuestion.php?Question=<script>alert(1)</script>' | grep 'alert(1)'

1. 2025-11-18Disclosure

   disclosure

2. 2025-11-18PoC

   poc

1. Reservado2025-11-18
2. Publicada2025-11-18
3. EPSS actualizado2026-03-23

La mitigación principal para esta vulnerabilidad es actualizar el Interview Management System a la versión 1.0.1, que incluye la corrección. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario en el archivo /editQuestion.php. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan patrones de inyección de scripts. Verifique la integridad del archivo /editQuestion.php después de la actualización para confirmar que la corrección se aplicó correctamente.