SourceCodester/Campcodes School Log Management System ajax.php cross site scripting

A exploração bem-sucedida desta vulnerabilidade XSS permite que um atacante injete scripts maliciosos no School Log Management System. Esses scripts podem ser executados no navegador de usuários que acessam a aplicação, permitindo que o atacante roube cookies de sessão, redirecione usuários para sites maliciosos ou modifique o conteúdo da página. O impacto pode variar dependendo do contexto da aplicação e das permissões do usuário afetado, mas em cenários críticos, pode levar ao comprometimento completo da conta de administrador.

Schools and educational institutions using SourceCodester's School Log Management System are at risk. Specifically, organizations relying on the default configuration and not implementing additional security measures are particularly vulnerable. Shared hosting environments where multiple users share the same server resources could also be affected if one user's account is compromised.

• php: Examine the /admin/ajax.php file for unsanitized input handling of the 'Name' parameter. Search for instances where user input is directly outputted to the page without proper encoding.

// Example of vulnerable code
<?php
echo $_GET['Name']; // Vulnerable to XSS
?>

• generic web: Monitor access logs for requests to /admin/ajax.php?action=save_student containing suspicious characters or patterns commonly associated with XSS payloads (e.g., <script>, <img src=x onerror=alert(1)>). • generic web: Use a web proxy or browser developer tools to inspect the application's response for unexpected JavaScript code execution.

1. 2024-07-30Disclosure

   disclosure

1. Reservado2024-07-29
2. Publicada2024-07-30
3. Modificada2025-09-01
4. EPSS atualizado2026-04-02

A mitigação primária para CVE-2024-7218 é a atualização imediata para a versão 1.0.1 do School Log Management System. Como alternativa, implemente validação e sanitização rigorosas de todas as entradas de usuário, especialmente o campo 'Name', para evitar a injeção de código malicioso. Considere a implementação de um Web Application Firewall (WAF) com regras para detectar e bloquear payloads XSS comuns. Monitore os logs de acesso e erro em busca de padrões suspeitos de injeção de script.