CVE-2026-9527 CVSS 4.3 中危

CVE-2026-9527: itsourcecode电子评分系统XSS漏洞

披露日期: 2026-05-26

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-9527

漏洞类型

跨站脚本攻击

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

itsourcecode Electronic Judging System

漏洞概述

CVE-2026-9527漏洞存在于itsourcecode Electronic Judging System 1.0中。该漏洞是由于/admin/judges.php文件对fname参数处理不当导致的跨站脚本攻击（XSS）。攻击者可诱导受害者点击恶意链接，利用此漏洞在受害者浏览器中执行恶意JavaScript代码，从而窃取会话Cookie或进行钓鱼攻击，无需认证即可利用。

技术细节

该漏洞属于反射型跨站脚本漏洞。在itsourcecode Electronic Judging System 1.0的/admin/judges.php接口中，程序未能对HTTP请求参数fname进行充分的过滤和安全编码。攻击者可以构造特定的恶意URL，将JavaScript代码注入到该参数中。当系统处理该请求并生成响应页面时，会将恶意脚本直接嵌入到HTML文档中返回。一旦受害者访问此链接，浏览器便会解析并执行该脚本。攻击者可借此窃取用户的Session ID、凭证信息，或者重定向用户至钓鱼网站。由于CVSS向量为PR:N/UI:R，攻击无需登录认证，但需要诱导用户点击。

攻击链分析

STEP 1

侦察

攻击者确定目标系统运行的是itsourcecode Electronic Judging System 1.0，并确认漏洞文件/admin/judges.php可访问。

STEP 2

武器化

攻击者构造包含恶意JavaScript代码的URL参数，例如在fname参数中注入<script>alert(1)</script>。

STEP 3

交付

攻击者将包含恶意payload的URL发送给目标受害者（如通过电子邮件或即时通讯工具），诱导其点击。

STEP 4

利用

受害者点击链接，浏览器向服务器发送请求。服务器未过滤fname参数并将其反射回页面。

STEP 5

执行

受害者的浏览器解析响应页面并执行注入的恶意脚本，可能导致Cookie窃取或会话劫持。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

target_url = "http://target_host/admin/judges.php"
payload = "<script>alert('XSS');</script>"

params = {
    "fname": payload
}

response = requests.get(target_url, params=params)

if payload in response.text:
    print("Vulnerability confirmed: XSS payload found in response.")
else:
    print("Vulnerability not found or patched.")

影响范围

itsourcecode Electronic Judging System 1.0

防御指南

临时缓解措施

建议管理员暂时通过Web应用防火墙（WAF）配置规则，拦截针对/admin/judges.php接口的异常参数请求，特别是包含<, >, ', "等特殊字符的数据。同时，应尽快联系软件供应商获取安全更新，修补源代码中的过滤缺陷。

参考链接

1 CVE https://www.cve.org/CVERecord?id=CVE-2026-9527
2 NVD https://nvd.nist.gov/vuln/detail/CVE-2026-9527
3 Details https://www.cvedetails.com/cve/CVE-2026-9527/
4 VulDB https://vuldb.com/cve/CVE-2026-9527
5 Link https://github.com/i-QvQ-i/first-OvO/issues/1
6 Link https://itsourcecode.com/
7 Link https://vuldb.com/submit/814715
8 Link https://vuldb.com/vuln/365546
9 Link https://vuldb.com/vuln/365546/cti

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表