Уязвимость XSS в CloudClassroom-PHP-Project (CVE-2026-100311)
В mathurvishal CloudClassroom-PHP-Project обнаружена уязвимость межсайтового скриптинга (XSS) в компоненте Faculty Video Management. Атака возможна удалённо через манипуляцию параметрами V_Title, V_Url и V_Remarks в файле managevideos2.php. Уязвимости присвоен средний уровень опасности (CVSS 5.1), эксплойт уже опубликован в открытом доступе.
Подробности
Уязвимость классифицирована как CWE-79 (Cross Site Scripting) и получила идентификатор CVE-2026-100311. Опасность заключается в том, что при обработке аргументов V_Title, V_Url и V_Remarks в файле managevideos2.php компонента Faculty Video Management происходит недостаточная фильтрация входных данных. В результате злоумышленник может внедрить вредоносный скрипт, который выполнится в браузере пользователя при просмотре скомпрометированной страницы. Согласно оценке CVSS, базовый балл уязвимости составляет 5.1, что соответствует среднему уровню критичности. Атака может быть проведена удалённо, без необходимости физического доступа к системе или предварительной аутентификации. На момент публикации эксплойт уже находится в открытом доступе, что повышает вероятность его реального применения. Стоит отметить, что проект использует модель непрерывных поставок (rolling release), поэтому конкретные номера уязвимых или исправленных версий не раскрываются. Уязвимость выявлена во всех сборках вплоть до коммита 5dadec098bfbbf3300d60c3494db3fb95b66e7be. Производитель был уведомлён об обнаруженной проблеме на раннем этапе, однако не предоставил ответа и не выпустил официальное исправление.Что делать
Поскольку официальный патч от разработчика на текущий момент отсутствует, организациям и частным пользователям, эксплуатирующим CloudClassroom-PHP-Project, рекомендуется принять следующие меры: 1. Ограничить доступ к компоненту Faculty Video Management и файлу managevideos2.php, если он не используется в текущих рабочих процессах. 2. Внедрить серверную валидацию и экранирование всех входных данных, поступающих в параметры V_Title, V_Url и V_Remarks, до передачи их в HTML-разметку. 3. Настроить строгую политику Content Security Policy (CSP), чтобы блокировать выполнение сторонних inline-скриптов. 4. Использовать WAF (Web Application Firewall) с актуальными сигнатурами для блокировки попыток эксплуатации XSS. 5. Регулярно мониторить репозиторий проекта и официальные каналы CVE на предмет выхода исправления. Дополнительно следует провести аудит пользовательских сессий и журналов веб-сервера на предмет подозрительной активности, связанной с обращением к managevideos2.php и передачей вредоносных параметров. Итог: CVE-2026-100311 представляет собой классическую XSS-уязвимость средней степени риска в CloudClassroom-PHP-Project. Отсутствие реакции вендора и наличие публичного эксплойта делают её актуальной угрозой для всех, кто использует данный продукт. До выпуска патча единственным надёжным способом защиты остаётся ограничение доступа к уязвимому компоненту и самостоятельная фильтрация входных данных на стороне сервера.Источник: CVE Project (cvelistV5)