关键信息 漏洞类型: Stored Cross-Site Scripting (XSS) 受影响系统: SourceCodester Student Result Management System 1.0 漏洞描述: - 存在存储型XSS漏洞，通过School Name字段在系统设置页面注入恶意脚本。 - 应用程序未对输入进行适当清理，导致前端渲染时执行恶意脚本。 - 恶意脚本存储后，在根路径 页面自动执行，每次页面加载时触发，即使对未认证用户也是如此。 - 这显著增加了影响范围，任何访问受影响端点的用户都会触发payload，可能引发会话劫持、重定向或其他恶意活动，无需用户交互或认证。 复现步骤: 1. 使用管理员账户登录SRMS 1.0应用。 2. 导航至 。 3. 在School Name输入框中插入以下payload并保存更改： 4. 访问根路径 ，注入的JavaScript payload将自动执行。 5. 由于该端点无需认证即可访问，XSS对任何访问页面的用户触发，确认存在高风险存储型XSS漏洞。 来源: https://github.com/RaulPazmexas/PoCVulDb/blob/main/README.md 提交者: RaulPAIXXXX (UID 84502) 提交日期: 2023年6月19日 11:22 AM 审核日期: 2023年6月21日 07:42 AM 状态: 已接受 VulDB条目: [SourceCodester Student Result Management System 1.0 System Settings Page /script/admin/system School Name cross site scripting]