关键信息总结 影响的产品 产品名称: Online Student Management System in PHP 厂商主页: https://code-projects.org/online-student-management-system-in-php-with-source-code/ 受影响的文件和版本 易受攻击的文件: /admin/announcement/index.php 版本: 未指定（最新版本） 漏洞类型 类型: 存储型跨站脚本 (XSS) 漏洞原因 在 文件中发现存储型跨站脚本 (XSS) 漏洞。 在“添加公告”功能中，用户输入的数据未经过适当的输入验证或输出编码即被存储在数据库中并呈现在公告显示页面上。 影响 攻击者可以利用管理员权限向公告中注入恶意JavaScript代码。 注入的恶意脚本将被持久存储，并在其他用户访问公告页面时自动执行。 成功利用此漏洞可能导致会话劫持、凭证窃取、未经授权代理用户行为以及潜在的用户数据泄露。 漏洞描述 在对 PHP 版在线学生管理系统进行安全审查时，发现了公告管理模块中的存储型跨站脚本(XSS)漏洞。 该漏洞是由于在“添加公告”功能中对用户输入数据的验证和清理不足造成的。 应用程序在呈现公告时未能正确编码输出，导致注入的JavaScript代码在查看受影响公告的用户的浏览器中被持久存储并执行。 尽管注入时需要管理员身份验证，但漏洞影响所有随后访问被篡改内容的用户。 利用漏洞所需的登录或授权 利用此漏洞需要登录或授权。 漏洞位置和PoC详情 漏洞位置: 中的公告内容参数。 payload: