CVE-2026-4835 CVSS 3.5 低危

CVE-2026-4835: Accounting System 1.0 存储型XSS漏洞

披露日期: 2026-03-26

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-4835

漏洞类型

跨站脚本 (XSS)

CVSS评分

3.5 低危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

需要交互 (UI:R)

影响产品

code-projects Accounting System

漏洞概述

code-projects Accounting System 1.0 版本中的 `/my_account/add_costumer.php` 文件存在安全漏洞。由于未对 `costumer_name` 参数进行适当的过滤和转义，攻击者可利用该漏洞实施存储型跨站脚本攻击（XSS）。该漏洞需要低权限且需要用户交互才能触发，成功利用可能导致数据完整性受损。

技术细节

该漏洞属于存储型跨站脚本（Stored XSS）。在 `code-projects Accounting System 1.0` 的 Web 应用接口中，`/my_account/add_costumer.php` 文件负责处理添加客户的请求。系统在接收用户提交的 `costumer_name` 参数时，缺乏足够的输入验证和输出编码机制。这使得经过身份验证的低权限攻击者能够注入恶意 JavaScript 代码。当管理员或其他用户访问受感染的客户记录页面时，注入的脚本将在受害者浏览器中执行。利用此漏洞，攻击者可以窃取会话 Cookie、重定向用户或执行恶意操作，从而破坏系统的完整性。

攻击链分析

STEP 1

1. 侦察与访问

攻击者发现目标运行 code-projects Accounting System 1.0，并获取低权限账户登录系统。

STEP 2

2. 注入Payload

攻击者访问 `/my_account/add_costumer.php` 页面，在 `costumer_name` 参数中输入恶意 JavaScript 代码（如 <script>alert(1)</script>）并提交。

STEP 3

3. 触发漏洞

恶意代码被存储在数据库中。当管理员或其他用户查看该客户信息页面时，未经过滤的代码在浏览器端执行，导致攻击成功。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

POST /my_account/add_costumer.php HTTP/1.1
Host: target-ip
Content-Type: application/x-www-form-urlencoded
Cookie: [session_cookie]

 costumer_name=<script>alert('XSS');</script>&[other_parameters]

影响范围

code-projects Accounting System 1.0

防御指南

临时缓解措施

建议开发者立即对所有用户可控的输入点进行过滤和转义处理。在修复补丁发布前，管理员应严格限制用户权限，并避免点击来源不明的链接，同时检查数据库中已存在的异常数据。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表