code-projects 在线鞋店 admin_football.php 跨站脚本漏洞

该XSS漏洞允许攻击者在受影响的code-projects Online Shoe Store应用程序中注入恶意脚本。攻击者可以利用此漏洞窃取用户会话cookie，从而冒充用户执行操作，例如修改用户数据、发布恶意内容或重定向用户到恶意网站。由于漏洞可远程利用且已公开PoC，攻击者可以轻松地利用此漏洞，造成严重的安全风险。攻击者可能利用此漏洞进行钓鱼攻击，诱骗管理员输入敏感信息，进一步扩大攻击范围。

Administrators of code-projects Online Shoe Store installations are the primary group at risk. Shared hosting environments where multiple users share the same server instance are also particularly vulnerable, as a successful attack could potentially compromise other websites hosted on the same server. Users with administrative privileges are at the highest risk.

• php / web:

curl -s -X POST "http://your-target-domain.com/admin/admin_football.php" -d "product_name=<script>alert('XSS')</script>" | grep "<script>alert('XSS')</script>"

• generic web:

curl -I http://your-target-domain.com/admin/admin_football.php?product_name=<script>alert('XSS')</script>

• generic web: Examine access logs for requests to /admin/adminfootball.php containing suspicious characters or patterns in the productname parameter (e.g., <script>, <img src=x onerror=alert('XSS')>, etc.).

1. 2026-04-09Disclosure

   disclosure

1. 已保留2026-04-08
2. 发布日期2026-04-09
3. EPSS 更新日期2026-04-16

由于该漏洞已公开PoC，建议立即采取措施。首要措施是升级到修复后的版本（如果可用）。如果无法立即升级，可以考虑以下缓解措施：对所有用户输入进行严格的输入验证和输出编码，特别是productname参数。配置Web应用程序防火墙（WAF），以检测和阻止XSS攻击。审查/admin/adminfootball.php文件，确保没有其他潜在的安全漏洞。在升级后，验证修复是否有效，例如通过尝试注入恶意脚本并确认是否被正确过滤。