code-projects Online Shoe Store admin_football.php cross site scripting

L'exploitation réussie de cette vulnérabilité XSS permet à un attaquant d'injecter du code JavaScript arbitraire dans les pages web consultées par les utilisateurs de code-projects Online Shoe Store. Cela peut conduire au vol de cookies de session, à la redirection vers des sites malveillants, ou à la modification du contenu affiché, induisant les utilisateurs en erreur. L'attaquant peut également utiliser cette vulnérabilité pour effectuer des actions au nom de l'utilisateur authentifié, compromettant ainsi la confidentialité et l'intégrité des données sensibles. La publication d'un exploit rend cette vulnérabilité particulièrement critique.

Administrators of code-projects Online Shoe Store installations are the primary group at risk. Shared hosting environments where multiple users share the same server instance are also particularly vulnerable, as a successful attack could potentially compromise other websites hosted on the same server. Users with administrative privileges are at the highest risk.

• php / web:

curl -s -X POST "http://your-target-domain.com/admin/admin_football.php" -d "product_name=<script>alert('XSS')</script>" | grep "<script>alert('XSS')</script>"

• generic web:

curl -I http://your-target-domain.com/admin/admin_football.php?product_name=<script>alert('XSS')</script>

• generic web: Examine access logs for requests to /admin/adminfootball.php containing suspicious characters or patterns in the productname parameter (e.g., <script>, <img src=x onerror=alert('XSS')>, etc.).

1. 2026-04-09Disclosure

   disclosure

1. Réservé2026-04-08
2. Publiée2026-04-09
3. EPSS mis à jour2026-04-16

En l'absence d'une version corrigée, la mitigation immédiate consiste à désactiver temporairement l'accès à la page /admin/adminfootball.php. Implémentez une validation stricte des entrées utilisateur, en particulier pour le paramètre productname, afin d'empêcher l'injection de code malveillant. Utilisez un Web Application Firewall (WAF) configuré pour bloquer les requêtes contenant des scripts potentiellement dangereux. Surveillez attentivement les journaux d'accès et d'erreurs pour détecter toute activité suspecte.