CVE-2025-45953
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność w PHPGurukul Hostel Management System 2.1 w pliku /hostel/change-password.php panelu użytkownika (komponent Zmiana hasła) umożliwia przejęcie sesji. Nieprawidłowe zarządzanie danymi sesji pozwala atakującemu na zdalne przechwycenie sesji użytkownika.
Ocena ryzyka
Atakujący może przejąć sesję administratora lub użytkownika, uzyskując nieautoryzowany dostęp do systemu zarządzania hostelem, co może prowadzić do kradzieży danych lub modyfikacji ustawień.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować poprawkę zabezpieczającą. Dodatkowo wdrożyć mechanizmy ochrony sesji, takie jak regeneracja identyfikatora sesji po zalogowaniu i użycie flag HttpOnly oraz Secure dla ciasteczek.
Inne podatności w PHPGurukul Hostel Management System
Zobacz wszystkie- CVE-2025-63611Wysokie
System zarządzania hostelem phpgurukul v2.1 zawiera podatność na Cross-Site Scripting (XSS) w polu skargi użytkownika (Explain the Complaint) przesyłanym przez /register-complaint.php. Wstrzyknięty kod HTML/JavaScript jest przechowywany i renderowany bez escapowania w widoku administratora (/admin/complaint-details.php?cid=<id>), co powoduje jego wykonanie w przeglądarce administratora.
- CVE-2026-90851Średnie
W PHPGurukul Hostel Management System 3.0 wykryto wadę w pliku /admin/includes/checklogin.php. Manipulacja argumentem ID prowadzi do niewłaściwych kontroli dostępu. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-90850Niskie
W systemie PHPGurukul Hostel Management System 3.0 wykryto podatność XSS w nieznanej funkcji pliku /admin/manage-students.php. Manipulacja danymi prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2025-13577Niskie
Wykryto lukę typu cross site scripting w systemie Hostel Management System 2.1 firmy PHPGurukul. Podatny jest nieznany fragment kodu w pliku /register-complaint.php, a manipulacja argumentem cdetails prowadzi do wykonania złośliwego skryptu. Atak można przeprowadzić zdalnie, a exploit został publicznie opublikowany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in PHPGurukul Hostel Management System 2.1 in the /hostel/change-password.php file of the user panel - Change Password component. Improper handling of session data allows a Session Hijacking attack, exploitable remotely
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS