Cyber-III Student-Management-System 管理员添加端点 notice.php 跨站脚本漏洞

该 XSS 漏洞允许攻击者在受影响的 Student-Management-System 中注入恶意脚本。攻击者可以利用此漏洞窃取用户凭据，例如用户名和密码，或执行其他恶意操作，例如重定向用户到恶意网站或篡改网站内容。由于该漏洞可远程利用，攻击者无需物理访问系统即可利用它。公开的 PoC 表明该漏洞易于利用，增加了被攻击的风险。攻击者可能利用此漏洞进行钓鱼攻击，诱骗用户泄露敏感信息，或者利用此漏洞进行进一步的攻击，例如横向移动到其他系统。

Administrators and users with access to the /admin/Add%20notice/notice.php endpoint are at the highest risk. Shared hosting environments running Cyber-III Student-Management-System are particularly vulnerable, as they may lack the ability to quickly apply security updates or implement custom mitigations.

• php: Examine access logs for requests to /admin/Add%20notice/notice.php with unusual or suspicious values in the $SERVER['PHPSELF'] parameter. Look for patterns indicative of XSS payloads (e.g., <script>, javascript:, onerror=).

 grep "/admin/Add%20notice/notice.php.*$_SERVER['PHP_SELF']=[^a-zA-Z0-9]" /var/log/apache2/access.log

1. 2026-04-06Disclosure

   disclosure

1. 已保留2026-04-05
2. 发布日期2026-04-06
3. EPSS 更新日期2026-04-13

由于 Cyber-III Student-Management-System 采用滚动发布模式，无法确定具体的修复版本。因此，建议采取以下缓解措施：首先，实施严格的输入验证和输出编码，以防止恶意脚本注入。其次，配置 Web 应用程序防火墙 (WAF)，以检测和阻止 XSS 攻击。第三，定期审查和更新应用程序代码，以修复潜在的安全漏洞。如果可能，考虑回滚到之前的版本，但请注意这可能会引入其他问题。最后，监控应用程序日志，以检测任何可疑活动。