CVE-2024-46336kashipara学校管理系统1.0存在跨站脚本攻击(XSS)漏洞，攻击者可以通过/client_user/feedback.php页面注入恶意JavaScript代码。该漏洞位于用户反馈提交功能处，系统未能对用户输入进行充分的输入验证和输出编码。攻击者可以利用此漏洞窃取用户会话cookie、劫持用户账户、进行钓鱼攻击或修改页面显示内容。由于该漏洞需要用户交互才能触发，攻击者需要诱导用户访问恶意链接或提交包含恶意脚本的反馈内容。此漏洞的CVSS评分为6.1，属于中等严重程度，对系统机密性和完整性有一定影响，但可用性影响较低。学校管理系统通常存储学生和教职工的敏感信息，此XSS漏洞可能被用于进一步的信息窃取和社会工程攻击。
该漏洞存在于kashipara学校管理系统的反馈功能模块中，具体路径为/client_user/feedback.php。漏洞根源在于系统对用户提交的反馈内容缺乏有效的输入过滤和输出编码。当用户提交反馈时，系统直接将用户输入的内容存储并在后续页面中展示，如果用户输入包含恶意JavaScript代码，浏览器会将其解析执行。攻击者可以通过在反馈表单中提交类似<script>alert(document.cookie)</script>的payload来验证漏洞存在。在实际攻击场景中，攻击者可能会构造更复杂的payload来窃取用户会话令牌或执行其他恶意操作。由于该功能无需认证即可访问（PR:N），任何人都可以提交反馈，增加了漏洞的利用面。修复此类漏洞需要在输入端对特殊字符进行过滤，并在输出端对HTML实体进行编码。