CVE-2026-5319：工资管理系统1.0存在XSS漏洞

在 itsourcecode 薪资管理系统 1.0 及更早版本中，发现了一个跨站脚本 (XSS) 漏洞。该漏洞存在于 /navbar.php 文件的未知函数中，允许操纵 'page' 参数。攻击者可以注入恶意代码，该代码将在其他用户的浏览器中执行，从而可能破坏其帐户或窃取敏感信息。此漏洞的严重程度评分为 CVSS 4.3，表明存在中等风险。该漏洞的利用公开披露且可远程利用，这大大增加了使用此软件版本的组织的风险。利用成功可能导致显示虚假弹出窗口、重定向到恶意网站或窃取会话 cookie。

Organizations utilizing itsourcecode Payroll Management System version 1.0, particularly those with publicly accessible instances or those lacking robust input validation practices, are at significant risk. Shared hosting environments where multiple users share the same server are also vulnerable, as an attacker could potentially compromise other users' accounts through this XSS vulnerability.

• generic web: Use curl to test for XSS by injecting <script>alert(1)</script> into the 'page' parameter of /navbar.php. Check the response for the alert box.

curl 'http://your-payroll-system/navbar.php?page=<script>alert(1)</script>' 

• generic web: Examine access and error logs for suspicious requests targeting /navbar.php with unusual parameters. Look for patterns indicative of XSS attempts. • php: Review the source code of /navbar.php for inadequate input validation or output encoding of the 'page' parameter. Search for functions like htmlspecialchars or strip_tags that should be used but are missing.

1. 2026-04-02Disclosure

   disclosure

1. 已保留2026-04-01
2. 发布日期2026-04-02
3. EPSS 更新日期2026-04-09

目前，itsourcecode 未为其漏洞提供官方修复程序。最有效的即时缓解措施是尽快升级到薪资管理系统的更新版本。同时，建议实施额外的安全措施，例如严格验证和清理所有用户输入、应用内容安全策略 (CSP) 以限制脚本源以及持续监控系统日志以查找可疑活动。Web 应用程序防火墙 (WAF) 还可以帮助阻止已知的 XSS 攻击。系统管理员必须评估风险并优先实施这些缓解措施，直到发布官方解决方案为止。