CVE-2025-63611
WysokieStreszczenie
System zarządzania hostelem phpgurukul v2.1 zawiera podatność na Cross-Site Scripting (XSS) w polu skargi użytkownika (Explain the Complaint) przesyłanym przez /register-complaint.php. Wstrzyknięty kod HTML/JavaScript jest przechowywany i renderowany bez escapowania w widoku administratora (/admin/complaint-details.php?cid=<id>), co powoduje jego wykonanie w przeglądarce administratora.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania złośliwego skryptu w kontekście sesji administratora, co może prowadzić do kradzieży danych, przejęcia sesji lub dalszych ataków na system.
Rekomendacja
Zaleca się aktualizację systemu do wersji, która zawiera poprawkę eliminującą podatność XSS. Dodatkowo należy zastosować odpowiednie kodowanie danych wyjściowych w widoku administratora.
Inne podatności w phpgurukul Hostel Management System
Zobacz wszystkie- CVE-2025-45953Krytyczne
Podatność w PHPGurukul Hostel Management System 2.1 w pliku /hostel/change-password.php panelu użytkownika (komponent Zmiana hasła) umożliwia przejęcie sesji. Nieprawidłowe zarządzanie danymi sesji pozwala atakującemu na zdalne przechwycenie sesji użytkownika.
- CVE-2026-90851Średnie
W PHPGurukul Hostel Management System 3.0 wykryto wadę w pliku /admin/includes/checklogin.php. Manipulacja argumentem ID prowadzi do niewłaściwych kontroli dostępu. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-90850Niskie
W systemie PHPGurukul Hostel Management System 3.0 wykryto podatność XSS w nieznanej funkcji pliku /admin/manage-students.php. Manipulacja danymi prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2025-13577Niskie
Wykryto lukę typu cross site scripting w systemie Hostel Management System 2.1 firmy PHPGurukul. Podatny jest nieznany fragment kodu w pliku /register-complaint.php, a manipulacja argumentem cdetails prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie opublikowany.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Scripting in phpgurukul Hostel Management System v2.1 user-provided complaint fields (Explain the Complaint) submitted via /register-complaint.php are stored and rendered unescaped in the admin viewer (/admin/complaint-details.php?cid=<id>). When an administrator opens the complaint, injected HTML/JavaScript executes in the admin's browser.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS