平台
php
组件
online-shoe-store
修复版本
1.0.1
A cross-site scripting (XSS) vulnerability has been identified in Online Shoe Store version 1.0. This flaw resides within the /admin/adminfeature.php file, specifically impacting the Add Product Page component. Attackers can exploit this vulnerability by manipulating the productname argument, leading to potential script injection and subsequent compromise of administrative functions. The vulnerability was publicly disclosed on 2026-04-06, and mitigation strategies are crucial to protect against exploitation.
在code-projects的'Online Shoe Store' 1.0版本中检测到跨站脚本攻击（XSS）漏洞，具体位于/admin/adminfeature.php文件中的“添加产品页面”组件。此漏洞允许攻击者通过操纵productname参数注入恶意代码。由于这是一个远程漏洞，攻击者无需直接访问系统即可利用此弱点。风险较高，因为该漏洞已公开，这意味着攻击者可以积极利用它来破坏在线商店的安全性。恶意脚本的注入可能导致敏感信息被盗、将用户重定向到欺诈网站或修改网页内容。
此漏洞位于'Online Shoe Store' 1.0中“添加产品”功能内的/admin/adminfeature.php文件中。攻击者可以通过发送包含注入到productname参数中的JavaScript代码的恶意HTTP请求来利用此漏洞。由于输入验证不足，此代码将在访问页面的用户的浏览器中执行，从而允许攻击者执行任意脚本。该漏洞已公开意味着有工具和技术可用于促进此漏洞的利用，从而增加了攻击成功的风险。缺乏官方修复加剧了这种情况，需要管理员立即采取行动。
Administrators of Online Shoe Store installations, particularly those using version 1.0, are at significant risk. Shared hosting environments where multiple users share the same server and database are especially vulnerable, as a compromised account could be used to launch attacks against other users.
• php: Examine /admin/adminfeature.php for unsanitized use of the productname variable in output contexts (e.g., echo, print).
• generic web: Monitor access logs for requests to /admin/adminfeature.php with unusual or suspicious values in the productname parameter (e.g., containing <script> tags or event handlers).
• generic web: Use curl to test the endpoint with a simple XSS payload: curl 'http://example.com/admin/adminfeature.php?productname=<script>alert(1)</script>' and check for an alert box.
disclosure
漏洞利用状态
EPSS
0.03% (9% 百分位)
CISA SSVC
目前，尚未发布针对此CVE-2026-5647漏洞的官方修复程序。但是，强烈建议'Online Shoe Store' 1.0的管理员立即采取预防措施。这些措施包括严格验证和清理所有用户输入，特别是product_name字段。实施内容安全策略（CSP）可以帮助减轻XSS风险。此外，建议积极监控服务器日志以查找可疑活动。由于开发人员未提供解决方案，因此实施这些安全措施成为保护在线商店及其用户的关键责任。
Actualice el plugin Online Shoe Store a la última versión disponible para mitigar la vulnerabilidad de XSS. Verifique y sanee todas las entradas de usuario, especialmente el campo 'product_name', para prevenir la inyección de código malicioso. Implemente medidas de seguridad adicionales, como la codificación de salida, para proteger contra ataques XSS.
漏洞分析和关键警报直接发送到您的邮箱。
XSS（跨站脚本攻击）是一种安全漏洞，允许攻击者将恶意脚本注入到其他用户查看的网页中。
如果您正在使用'Online Shoe Store' 1.0，您很可能容易受到攻击。请检查服务器日志以查找可疑活动并监控网络流量。
CSP是一种安全机制，允许您控制浏览器可以加载的资源，从而降低XSS攻击的风险。
您可以在OWASP（开放Web应用程序安全项目）等网站上找到有关XSS的更多信息。
考虑迁移到更安全、更新的电子商务平台，该平台已收到最近的安全补丁。
CVSS 向量