CVE-2021-45416
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 81 - wyżej niż 81% wszystkich znanych CVE
Streszczenie
W RosarioSIS 8.2.1 wykryto podatność na odbity atak XSS. Atakujący może wstrzyknąć dowolny kod HTML poprzez parametr search_term w skrypcie modules/Scheduling/Courses.php.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przekierowań lub kradzieży danych wrażliwych.
Rekomendacja
Należy natychmiast zaktualizować RosarioSIS do najnowszej wersji oraz zastosować filtrowanie i walidację danych wejściowych dla parametru search_term.
Inne podatności w RosarioSIS
Zobacz wszystkie- CVE-2026-93014Wysokie
RosarioSIS w wersjach przed 12.9 nie waliduje parametru żądania filename w modułach Users i Students, co pozwala uwierzytelnionym użytkownikom usuwać pliki z listy dozwolonych poprzez path traversal. Atakujący mogą użyć sekwencji katalogu nadrzędnego, aby wyjść poza katalogi przesyłania i usunąć zasoby CSS, XML, JSON oraz dokumenty innych użytkowników w całej instalacji.
- CVE-2026-19786Średnie
W systemie francoisjacquet RosarioSIS do wersji 12.8 stwierdzono podatność na Cross-Site Request Forgery (CSRF) w pliku Modules.php. Manipulacja prowadzi do CSRF. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 12.9 rozwiązuje problem.
- CVE-2026-19785Średnie
Znaleziono podatność w systemie RosarioSIS do wersji 12.7.4, w module medycznym uczniów. Manipulacja argumentem 'table' w pliku Medical.inc.php prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.
- CVE-2026-19784Średnie
W systemie RosarioSIS do wersji 12.8 wykryto błąd w funkcji DBUpdate pliku Discipline/Referrals.php. Manipulacja powoduje obejście autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
Reflected Cross-site scripting (XSS) vulnerability in RosarioSIS 8.2.1 allows attackers to inject arbitrary HTML via the search_term parameter in the modules/Scheduling/Courses.php script.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS