CVE-2026-4474 CVSS 2.4 低危

CVE-2026-4474: itsourcecode大学管理系统XSS漏洞

披露日期: 2026-03-20

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-4474

漏洞类型

跨站脚本 (XSS)

CVSS评分

2.4 低危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

需要交互 (UI:R)

影响产品

itsourcecode University Management System

漏洞概述

itsourcecode University Management System 1.0版本中存在一个跨站脚本漏洞（CVE-2026-4474）。该漏洞源于/admin_single_student_update.php文件对st_name参数的处理不当，导致攻击者能够注入恶意脚本。攻击者需要拥有高权限并发起远程攻击，诱导用户交互后可能导致数据完整性受损。

技术细节

该漏洞发生在itsourcecode University Management System 1.0的学生管理更新模块中。由于系统在处理/admin_single_student_update.php请求时，未对用户提交的st_name参数进行严格的输入验证和输出编码，导致恶意脚本可以被注入到服务器响应中。攻击者需具备高权限（PR:H）才能访问该功能并提交包含JavaScript代码的数据。当其他用户（特别是管理员）访问受污染的学生记录页面时，浏览器会解析并执行该脚本。由于需要用户交互（UI:R），攻击链涉及社会工程学或等待目标用户浏览特定页面。利用此漏洞，攻击者可窃取会话凭证、篡改页面内容或执行未授权操作。

攻击链分析

STEP 1

1. 信息收集

攻击者识别目标系统运行的是itsourcecode University Management System 1.0版本，并获取具有高权限的账户凭据。

STEP 2

2. 漏洞利用

攻击者登录系统，访问/admin_single_student_update.php页面，并在st_name参数中注入恶意的JavaScript代码（如<script>alert(1)</script>）。

STEP 3

3. 诱导触发

系统保存或反射该恶意数据。攻击者诱导管理员或其他具有高权限的用户访问包含该恶意代码的学生记录页面。

STEP 4

4. 执行攻击

受害用户的浏览器解析并执行注入的脚本，可能导致Cookie窃取或会话劫持，破坏数据完整性。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- PoC for CVE-2026-4474 XSS -->
<!-- Target Parameter: st_name -->
<!-- Injecting script via student name update -->

POST /admin_single_student_update.php HTTP/1.1
Host: target_host
Content-Type: application/x-www-form-urlencoded

st_name="><script>alert('CVE-2026-4474_PoC');</script>

<!-- Alternatively, testing via URL -->
<!-- http://target_host/admin_single_student_update.php?st_name=<script>alert(1)</script> -->

影响范围

itsourcecode University Management System 1.0

防御指南

临时缓解措施

在官方发布安全补丁之前，建议管理员限制非必要用户对/admin_single_student_update.php的访问权限。同时，应在服务器端部署输入验证规则，拒绝包含HTML标签的姓名字段输入，以降低被攻击的风险。

参考链接

1 CVE https://www.cve.org/CVERecord?id=CVE-2026-4474
2 NVD https://nvd.nist.gov/vuln/detail/CVE-2026-4474
3 Details https://www.cvedetails.com/cve/CVE-2026-4474/
4 VulDB https://vuldb.com/cve/CVE-2026-4474
5 Link https://github.com/sjkdhl/public/issues/1
6 Link https://itsourcecode.com/
7 Link https://vuldb.com/?ctiid.351764
8 Link https://vuldb.com/?id.351764
9 Link https://vuldb.com/?submit.772884

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表