SourceCodester Simple Customer Relationship Management System Create Ticket create-ticket.php cross site scripting

Um atacante pode explorar essa vulnerabilidade de XSS para injetar scripts maliciosos no Simple Customer Relationship Management System. Ao manipular o argumento 'Description' no arquivo /create-ticket.php, o atacante pode executar código JavaScript arbitrário no navegador de usuários que acessam a página afetada. Isso pode levar ao roubo de cookies de sessão, redirecionamento para sites maliciosos, ou até mesmo à modificação de dados no sistema. A exploração bem-sucedida pode comprometer a confidencialidade, integridade e disponibilidade do sistema e dos dados armazenados.

Organizations using Simple Customer Relationship Management System version 1.0, particularly those with publicly accessible instances or those handling sensitive customer data, are at risk. Shared hosting environments where multiple users share the same server are also at increased risk, as a compromised account could be used to exploit the vulnerability and impact other users.

• php / web:

curl -I 'http://your-target/create-ticket.php?Description=<script>alert("XSS")</script>' | grep -i 'X-Powered-By'

• generic web:

curl -s 'http://your-target/create-ticket.php?Description=<script>alert("XSS")</script>' | grep 'alert("XSS")'

1. 2026-04-02Disclosure

   disclosure

1. Reservado2026-04-01
2. Publicada2026-04-02
3. EPSS atualizado2026-04-09

A mitigação primária para CVE-2026-5325 é a atualização para uma versão corrigida do Simple Customer Relationship Management System, caso disponível. Enquanto a atualização não estiver disponível, implemente validação rigorosa de entrada para o argumento 'Description', escapando ou sanitizando qualquer entrada do usuário antes de exibi-la na página. Considere a implementação de uma Web Application Firewall (WAF) com regras para detectar e bloquear payloads de XSS. Monitore os logs do sistema em busca de tentativas de injeção de código malicioso.