CVE-2025-10845
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Podatność w Portabilis i-Educar do wersji 2.10 dotyczy nieznanej części pliku /module/ComponenteCurricular/view. Manipulacja argumentem ID powoduje wstrzyknięcie SQL. Atak może być wykonany zdalnie. Exploit został upubliczniony i może być użyty.
Ocena ryzyka
Zdalny atakujący może wykorzystać wstrzyknięcie SQL do odczytu lub modyfikacji danych, co może prowadzić do naruszenia bezpieczeństwa danych.
Rekomendacja
Zaktualizuj i-Educar do najnowszej wersji lub zastosuj poprawki zabezpieczające przed wstrzyknięciem SQL.
Inne podatności w Portabilis i-Educar
Zobacz wszystkie- CVE-2026-2015Średnie
Wykryto podatność w Portabilis i-Educar do wersji 2.10. Dotyczy ona nieznanej funkcji w pliku FinalStatusImportService.php w komponencie Final Status Import. Manipulacja argumentem school_id prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Aktualizacja do wersji 2.11.0 rozwiązuje problem.
- CVE-2025-11554Średnie
Wykryto podatność w Portabilis i-Educar do wersji 2.9.10. Dotyczy ona nieznanej funkcji w pliku app/Http/Controllers/AccessLevelController.php w komponencie User Type Handler. Manipulacja prowadzi do niebezpiecznych odziedziczonych uprawnień. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-10846Średnie
Podatność w Portabilis i-Educar do wersji 2.10 dotyczy nieznanego kodu w pliku /module/ComponenteCurricular/edit. Manipulacja argumentem ID powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-10608Średnie
Wykryto podatność w Portabilis i-Educar do wersji 2.10. Nieznana funkcja w pliku /enrollment-history/ ma nieprawidłowe kontrole dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2025-10605Średnie
W Portabilis i-Educar do wersji 2.10 wykryto lukę bezpieczeństwa w pliku /agenda_preferencias.php. Manipulacja argumentem tipoacao prowadzi do cross-site scripting (XSS), a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony.
- CVE-2025-10591Niskie
W systemie Portabilis i-Educar do wersji 2.10 wykryto podatność typu cross-site scripting w pliku /intranet/educar_funcao_cad.php (komponent Editar Função Page). Manipulacja argumentami abreviatura/tipoacao pozwala na zdalne przeprowadzenie ataku. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-10590Średnie
W systemie Portabilis i-Educar do wersji 2.10 wykryto podatność Cross-Site Scripting (XSS) w pliku /intranet/educar_usuario_det.php. Poprzez manipulację argumentem ref_pessoa atakujący może wstrzyknąć złośliwy skrypt. Podatność można wykorzystać zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-10584Niskie
Podatność została zidentyfikowana w Portabilis i-Educar do wersji 2.10. Dotyczy nieznanej funkcji pliku /intranet/educar_calendario_anotacao_cad.php. Manipulacja argumentami nm_anotacao/descricao prowadzi do cross-site scripting. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty.
- CVE-2025-10073Średnie
Podatność w Portabilis i-Educar do wersji 2.10 dotyczy nieznanej funkcji w pliku /module/Api/turma. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-10013Średnie
W systemie Portabilis i-Educar do wersji 2.10 występuje podatność polegająca na niewłaściwej kontroli dostępu w pliku /exportacao-para-o-seb. Manipulacja prowadzi do nieautoryzowanego dostępu.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in Portabilis i-Educar up to 2.10. This affects an unknown part of the file /module/ComponenteCurricular/view. The manipulation of the argument ID results in sql injection. The attack can be executed remotely. The exploit has been made public and could be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS