SourceCodester Simple Customer Relationship Management System Create Ticket create-ticket.php cross site scripting

Cette vulnérabilité XSS permet à un attaquant d'injecter des scripts malveillants dans les pages web consultées par les utilisateurs du Simple Customer Relationship Management System. Un attaquant pourrait ainsi voler des informations sensibles, telles que des identifiants de connexion ou des données personnelles, ou encore modifier le contenu des pages web affichées. L'impact peut être significatif, allant de l'usurpation d'identité à la compromission complète du système, en fonction des privilèges de l'utilisateur attaqué et de la sensibilité des données accessibles. Cette vulnérabilité est similaire à d'autres failles XSS où l'injection de code JavaScript permet de contourner les mécanismes de sécurité et d'accéder à des ressources protégées.

Organizations using Simple Customer Relationship Management System version 1.0, particularly those with publicly accessible instances or those handling sensitive customer data, are at risk. Shared hosting environments where multiple users share the same server are also at increased risk, as a compromised account could be used to exploit the vulnerability and impact other users.

• php / web:

curl -I 'http://your-target/create-ticket.php?Description=<script>alert("XSS")</script>' | grep -i 'X-Powered-By'

• generic web:

curl -s 'http://your-target/create-ticket.php?Description=<script>alert("XSS")</script>' | grep 'alert("XSS")'

1. 2026-04-02Disclosure

   disclosure

1. Réservé2026-04-01
2. Publiée2026-04-02
3. EPSS mis à jour2026-04-09

La mitigation immédiate consiste à appliquer un correctif de sécurité fourni par SourceCodester, dès qu'il sera disponible. En attendant, il est recommandé de désactiver temporairement la fonctionnalité de création de tickets ou de mettre en place des mesures de validation et d'échappement strictes des données saisies dans le champ Description. L'utilisation d'un Web Application Firewall (WAF) peut également aider à bloquer les requêtes malveillantes. Il est crucial de surveiller les logs du serveur pour détecter toute activité suspecte et de sensibiliser les utilisateurs aux risques liés aux attaques XSS.