CVE-2024-51223 CVSS 4.8 中危

CVE-2024-51223 Phpgurukul车辆管理系统存储型XSS漏洞

披露日期: 2026-03-23

来源: [email protected]

漏洞信息

漏洞编号

CVE-2024-51223

漏洞类型

存储型跨站脚本攻击 (Stored XSS)

CVSS评分

4.8 中危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

需要交互 (UI:R)

影响产品

Phpgurukul Vehicle Record Management System

漏洞概述

Phpgurukul车辆记录管理系统v1.0版本中的/admin/profile.php组件存在存储型跨站脚本（XSS）漏洞。攻击者可通过在“手机号码”参数中注入恶意载荷执行任意Web脚本。

技术细节

该漏洞位于Phpgurukul车辆记录管理系统v1.0的/admin/profile.php文件中。由于系统未对用户输入的Mobile Number参数进行充分的安全过滤，导致经过认证的高权限用户（PR:H）可以提交包含JavaScript代码的恶意数据。这些数据被持久化存储在数据库中。当管理员或其他用户访问受影响的个人资料页面时，恶意脚本会在其浏览器上下文中执行，从而窃取Cookie或执行未授权操作。

攻击链分析

STEP 1

1. 身份认证

攻击者首先需要获取系统的高权限账户（如管理员账户），因为CVSS向量显示权限要求为高（PR:H）。

STEP 2

2. 访问漏洞页面

攻击者登录后台，访问存在漏洞的/admin/profile.php页面，该页面用于修改用户个人资料。

STEP 3

3. 注入恶意载荷

攻击者在“Mobile Number”（手机号码）输入框中输入精心构造的XSS Payload（例如：<script>alert(document.cookie)</script>）并提交表单。

STEP 4

4. 触发漏洞

由于是存储型XSS，恶意代码被保存至数据库。当管理员或其他用户访问包含该手机号码信息的页面时，载荷被渲染并执行。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

/*
PoC Description:
Send a POST request to /admin/profile.php with the XSS payload in the mobile parameter.
*/

POST /admin/profile.php HTTP/1.1
Host: target-ip
Content-Type: application/x-www-form-urlencoded
Cookie: PHPSESSID=[authenticated_session_id]

mobile="><script>alert('XSS')</script>&submit=Update

影响范围

Phpgurukul Vehicle Record Management System v1.0

防御指南

临时缓解措施

建议管理员在修复前限制非必要用户访问个人资料修改页面，并部署Web应用防火墙（WAF）规则，检测并拦截包含常见XSS攻击特征（如<script>标签、javascript:伪协议等）的POST请求。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表