CVE-2025-12918
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
W systemie Skuul School Management System do wersji 2.6.5 wykryto lukę w zabezpieczeniach w pliku /dashboard/fees/fee-invoices/ w komponencie View Fee Invoice. Manipulacja argumentem invoice_id prowadzi do niewłaściwej kontroli identyfikatorów zasobów. Możliwe jest zdalne wykorzystanie podatności, ale atak jest uważany za trudny i o wysokiej złożoności. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Atakujący może zdalnie uzyskać dostęp do nieautoryzowanych danych lub wykonać nieautoryzowane operacje na fakturach. Może to prowadzić do wycieku danych lub manipulacji finansowych.
Rekomendacja
Zaktualizuj system do najnowszej wersji, jeśli jest dostępna, lub zastosuj środki zaradcze, takie jak walidacja danych wejściowych i kontrola dostępu. Ponieważ producent nie odpowiedział, zaleca się rozważenie alternatywnych rozwiązań.
Inne podatności w Skuul School Management System
Zobacz wszystkie- CVE-2025-13785Średnie
W produkcie yungifez Skuul School Management System do wersji 2.6.5 wykryto podatność na ujawnienie informacji w nieznanym przetwarzaniu pliku /user/profile komponentu Image Handler. Manipulacja prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-13784Niskie
Podatność XSS w Skuul School Management System do wersji 2.6.5, występująca w komponencie SVG File Handler w pliku /dashboard/schools/1/edit. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in yungifez Skuul School Management System up to 2.6.5. The impacted element is an unknown function of the file /dashboard/fees/fee-invoices/ of the component View Fee Invoice. Performing manipulation of the argument invoice_id results in improper control of resource identifiers. Remote exploitation of the attack is possible. The attack is considered to have high complexity. The exploitability is regarded as difficult. The exploit has been released to the public and may be exploited. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS