CVE-2025-10099
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W Portabilis i-Educar do wersji 2.10 wykryto podatność cross-site scripting w pliku /intranet/educar_usuario_cad.php (strona edycji użytkownika). Manipulacja argumentami email/data_inicial/data_expiracao pozwala na zdalne wykonanie ataku XSS, a publiczny exploit jest dostępny.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, przejąć sesję lub wykonać działania w imieniu użytkownika. Publiczna dostępność exploitu zwiększa ryzyko.
Rekomendacja
Zaktualizuj i-Educar do wersji 2.12 (patch 5b11c0376fcef7ada4c90760b0ca1ed2f16c4de9).
Inne podatności w Portabilis i-Educar
Zobacz wszystkie- CVE-2026-2015Średnie
Wykryto podatność w Portabilis i-Educar do wersji 2.10. Dotyczy ona nieznanej funkcji w pliku FinalStatusImportService.php w komponencie Final Status Import. Manipulacja argumentem school_id prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Aktualizacja do wersji 2.11.0 rozwiązuje problem.
- CVE-2025-11554Średnie
W Portabilis i-Educar do wersji 2.9.10 wykryto podatność w nieznanej funkcjonalności pliku app/Http/Controllers/AccessLevelController.php w komponencie User Type Handler. Manipulacja prowadzi do niebezpiecznych odziedziczonych uprawnień. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony i może być użyty.
- CVE-2025-11050Średnie
W systemie Portabilis i-Educar do wersji 2.10 wykryto lukę w pliku /periodo-lancamento. Manipulacja może prowadzić do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-11049Średnie
W systemie Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /unificacao-aluno. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-11048Średnie
W systemie Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /consulta-dispensas. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-11047Średnie
W systemie Portabilis i-Educar do wersji 2.10 wykryto słabość w pliku /module/Api/aluno. Manipulacja argumentem aluno_id prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-10846Średnie
Podatność w Portabilis i-Educar do wersji 2.10 dotyczy nieznanego kodu w pliku /module/ComponenteCurricular/edit. Manipulacja argumentem ID powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-10845Średnie
Podatność w Portabilis i-Educar do wersji 2.10 dotyczy nieznanej części pliku /module/ComponenteCurricular/view. Manipulacja argumentem ID powoduje wstrzyknięcie SQL. Atak może być wykonany zdalnie. Exploit został upubliczniony i może być użyty.
- CVE-2025-10608Średnie
Wykryto podatność w Portabilis i-Educar do wersji 2.10. Nieznana funkcja w pliku /enrollment-history/ ma nieprawidłowe kontrole dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2025-10605Średnie
W Portabilis i-Educar do wersji 2.10 wykryto lukę bezpieczeństwa w pliku /agenda_preferencias.php. Manipulacja argumentem tipoacao prowadzi do cross-site scripting (XSS), a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in Portabilis i-Educar up to 2.10. Affected by this vulnerability is an unknown functionality of the file /intranet/educar_usuario_cad.php of the component Editar usuário Page. This manipulation of the argument email/data_inicial/data_expiracao causes cross site scripting. It is possible to initiate the attack remotely. The exploit has been made available to the public and could be used for attacks. Upgrading to version 2.12 addresses this issue. Patch name: 5b11c0376fcef7ada4c90760b0ca1ed2f16c4de9. You should upgrade the affected component.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS