CVE-2025-13795
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność XSS w School Management System (wersja rolling release) występuje w pliku /student-view.php w komponencie Edit Student Info Page. Manipulacja argumentem First Name powoduje XSS. Atak zdalny jest możliwy, exploit publiczny.
Ocena ryzyka
Ryzyko obejmuje możliwość wstrzyknięcia złośliwego skryptu przez parametr First Name, co może prowadzić do kradzieży danych lub przejęcia kont.
Rekomendacja
Ze względu na brak wersji z poprawką, należy ograniczyć dostęp do systemu i zastosować tymczasowe środki ochrony, np. walidację wejścia.
Inne podatności w School Management System
Zobacz wszystkie- CVE-2026-86268Wysokie
Podatność SQL injection w itsourcecode School Management System 1.0, dotycząca nieznanej funkcji w pliku User_Login.php. Manipulacja argumentem email prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie, exploit jest publiczny.
- CVE-2026-47325Średnie
System zarządzania szkołą ProjectsAndPrograms school-management-system używa przewidywalnych haseł, generując hasła uczniów i nauczycieli wyłącznie na podstawie daty urodzenia (np. 12072000 dla 12 lipca 2000). Aplikacja nie wymaga ani nie zachęca do zmiany hasła przy pierwszym logowaniu. Umożliwia to atakującym łatwe odgadnięcie lub wyliczenie poprawnych danych logowania, prowadząc do nieautoryzowanego dostępu do kont.
- CVE-2026-47324Średnie
System zarządzania szkołą ProjectsAndPrograms jest podatny na trwałe ataki XSS w wielu atrybutach obiektów uczniów i nauczycieli. Uwierzytelniony atakujący (np. nauczyciel lub administrator) może wstrzyknąć złośliwy JavaScript, który zostanie wykonany w przeglądarkach innych użytkowników. W połączeniu z CVE-2025-11661, umożliwiającym nieuwierzytelniony dostęp do endpointów backendu, podatność ta może być wykorzystana zdalnie bez uprawnień.
- CVE-2026-37750Średnie
W systemie School Management System autorstwa mahmoudai1 wykryto odbitą podatność Cross-Site Scripting (XSS). Niezautoryzowany atakujący zdalnie może wykonać dowolny kod JavaScript w przeglądarce ofiary poprzez niesanitowany parametr type w pliku register.php.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in codingWithElias School Management System up to f1ac334bfd89ae9067cc14dea12ec6ff3f078c01. Affected is an unknown function of the file /student-view.php of the component Edit Student Info Page. This manipulation of the argument First Name causes cross site scripting. Remote exploitation of the attack is possible. The exploit has been made available to the public and could be exploited. This product follows a rolling release approach for continuous delivery, so version details for affected or updated releases are not provided. Other parameters might be affected as well. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS