CVE-2025-8539
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W Portabilis i-Educar 2.10 zidentyfikowano słabość w pliku /intranet/public_distrito_cad.php. Manipulacja argumentem nome powoduje cross-site scripting. Atak może być przeprowadzony zdalnie. Exploit został upubliczniony. Aktualizacja do wersji 2.12 łagodzi ten problem. Producent wyjaśnia, że po przetestowaniu na poprawionej wersji opisane zachowanie XSS nie mogło zostać odtworzone.
Ocena ryzyka
Możliwość wstrzyknięcia złośliwego skryptu, co może prowadzić do kradzieży danych użytkownika lub przejęcia sesji.
Rekomendacja
Zaktualizuj i-Educar do wersji 2.12 lub nowszej, która zawiera poprawkę eliminującą podatność XSS.
Inne podatności w i-Educar
Zobacz wszystkie- CVE-2025-9606Średnie
W Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /intranet/agenda_preferencias.php. Manipulacja argumentem cod_agenda prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Aktualizacja do wersji 2.12 usuwa tę lukę.
- CVE-2025-9531Średnie
W Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /intranet/agenda.php. Manipulacja argumentem cod_agenda prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Aktualizacja do wersji 2.12 usuwa tę lukę.
- CVE-2025-9236Średnie
W Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /intranet/educar_tipo_usuario_lst.php. Manipulacja argumentami nm_tipo/descrição prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 2.12 usuwa tę lukę.
- CVE-2023-5578Niskie
W Portábilis i-Educar do wersji 2.7.5 wykryto podatność na cross-site scripting w pliku \intranet\agenda_imprimir.php. Manipulacja argumentem cod_agenda z wejściem ");'> <script>alert(document.cookie)</script> powoduje XSS. Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Producent wyjaśnia, że ten punkt końcowy i powiązana funkcjonalność nie są już obecne w aktualnym kodzie i zostały usunięte.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in Portabilis i-Educar 2.10. This affects an unknown function of the file /intranet/public_distrito_cad.php. This manipulation of the argument nome causes cross site scripting. The attack is possible to be carried out remotely. The exploit has been made available to the public and could be used for attacks. Upgrading to version 2.12 mitigates this issue. It is recommended to upgrade the affected component. The vendor explains, that "[t]he reported attack vector was tested against the corrected version, and the previously described XSS behavior could no longer be reproduced".