SourceCodester Vehicle Management System confirmbooking.php cross site scripting

La vulnerabilidad XSS en Vehicle Management System permite a un atacante ejecutar código JavaScript arbitrario en el navegador de un usuario que visite la página vulnerable. Esto puede resultar en el robo de cookies de sesión, la redirección a sitios web maliciosos, o la modificación del contenido de la página web. Un atacante podría, por ejemplo, inyectar un script que capture las credenciales de inicio de sesión de un administrador y utilizarlas para acceder al sistema. La explotación exitosa de esta vulnerabilidad podría comprometer la información sensible de los vehículos y los clientes, así como interrumpir las operaciones del sistema.

Organizations utilizing SourceCodester Vehicle Management System, particularly those with publicly accessible instances or those lacking robust input validation practices, are at risk. Shared hosting environments where multiple users share the same server are also at increased risk, as a compromised user account could be leveraged to exploit this vulnerability.

• php / web:

curl -I 'http://your-vehicle-management-system/confirmbooking.php?id=<script>alert(1)</script>' | grep -i 'content-type'

• php / web: Examine /confirmbooking.php for lack of input validation on the 'id' parameter. • generic web: Monitor access logs for unusual requests to /confirmbooking.php with suspicious parameters.

1. 2025-03-17Disclosure

   disclosure

1. Reservado2025-03-16
2. Publicada2025-03-17
3. EPSS actualizado2026-04-02

La mitigación principal para CVE-2025-2377 es actualizar el sistema Vehicle Management System a la versión 1.0.1, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario en el archivo /confirmbooking.php. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan patrones sospechosos de inyección de scripts. Verifique después de la actualización que la función de confirmación de reservas no presenta vulnerabilidades adicionales.