CVE-2025-63611

Wysokie

Opublikowano: 08/01/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

System zarządzania hostelem phpgurukul v2.1 zawiera podatność na Cross-Site Scripting (XSS) w polu skargi użytkownika (Explain the Complaint) przesyłanym przez /register-complaint.php. Wstrzyknięty kod HTML/JavaScript jest przechowywany i renderowany bez escapowania w widoku administratora (/admin/complaint-details.php?cid=<id>), co powoduje jego wykonanie w przeglądarce administratora.

Ocena ryzyka

Ryzyko obejmuje możliwość wykonania złośliwego skryptu w kontekście sesji administratora, co może prowadzić do kradzieży danych, przejęcia sesji lub dalszych ataków na system.

Rekomendacja

Zaleca się aktualizację systemu do wersji, która zawiera poprawkę eliminującą podatność XSS. Dodatkowo należy zastosować odpowiednie kodowanie danych wyjściowych w widoku administratora.

Inne podatności w phpgurukul Hostel Management System

CVE-2025-45953Krytyczne
Podatność w PHPGurukul Hostel Management System 2.1 w pliku /hostel/change-password.php panelu użytkownika (komponent Zmiana hasła) umożliwia przejęcie sesji. Nieprawidłowe zarządzanie danymi sesji pozwala atakującemu na zdalne przechwycenie sesji użytkownika.

Oryginalny opis (angielski, źródło NVD)

Cross-Site Scripting in phpgurukul Hostel Management System v2.1 user-provided complaint fields (Explain the Complaint) submitted via /register-complaint.php are stored and rendered unescaped in the admin viewer (/admin/complaint-details.php?cid=<id>). When an administrator opens the complaint, injected HTML/JavaScript executes in the admin's browser.