CVE-2025-9724
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W Portabilis i-Educar do wersji 2.10 wykryto podatność typu cross-site scripting w pliku /intranet/educar_nivel_ensino_cad.php. Manipulacja argumentami nm_nivel/descricao pozwala na wstrzyknięcie złośliwego skryptu, a atak można przeprowadzić zdalnie. Exploit jest publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Podatność XSS może pozwolić na kradzież sesji użytkownika lub wykonanie nieautoryzowanych operacji. Publiczna dostępność exploitu zwiększa ryzyko ataku.
Rekomendacja
Zaktualizuj i-Educar do najnowszej wersji, jeśli producent udostępnił poprawkę, lub wdróż walidację i sanityzację danych wejściowych w formularzu. Rozważ ograniczenie dostępu do panelu administracyjnego.
Inne podatności w Portabilis i-Educar
Zobacz wszystkie- CVE-2026-2015Średnie
Wykryto podatność w Portabilis i-Educar do wersji 2.10. Dotyczy ona nieznanej funkcji w pliku FinalStatusImportService.php w komponencie Final Status Import. Manipulacja argumentem school_id prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Aktualizacja do wersji 2.11.0 rozwiązuje problem.
- CVE-2025-11554Średnie
W Portabilis i-Educar do wersji 2.9.10 wykryto podatność w nieznanej funkcjonalności pliku app/Http/Controllers/AccessLevelController.php w komponencie User Type Handler. Manipulacja prowadzi do niebezpiecznych odziedziczonych uprawnień. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony i może być użyty.
- CVE-2025-11050Średnie
W systemie Portabilis i-Educar do wersji 2.10 wykryto lukę w pliku /periodo-lancamento. Manipulacja może prowadzić do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-11049Średnie
W systemie Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /unificacao-aluno. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-11048Średnie
W systemie Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /consulta-dispensas. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-11047Średnie
W systemie Portabilis i-Educar do wersji 2.10 wykryto słabość w pliku /module/Api/aluno. Manipulacja argumentem aluno_id prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-10846Średnie
Podatność w Portabilis i-Educar do wersji 2.10 dotyczy nieznanego kodu w pliku /module/ComponenteCurricular/edit. Manipulacja argumentem ID powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-10845Średnie
Podatność w Portabilis i-Educar do wersji 2.10 dotyczy nieznanej części pliku /module/ComponenteCurricular/view. Manipulacja argumentem ID powoduje wstrzyknięcie SQL. Atak może być wykonany zdalnie. Exploit został upubliczniony i może być użyty.
- CVE-2025-10608Średnie
Wykryto podatność w Portabilis i-Educar do wersji 2.10. Nieznana funkcja w pliku /enrollment-history/ ma nieprawidłowe kontrole dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2025-10605Średnie
W Portabilis i-Educar do wersji 2.10 wykryto lukę bezpieczeństwa w pliku /agenda_preferencias.php. Manipulacja argumentem tipoacao prowadzi do cross-site scripting (XSS), a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in Portabilis i-Educar up to 2.10. This impacts an unknown function of the file /intranet/educar_nivel_ensino_cad.php. Executing manipulation of the argument nm_nivel/descricao can lead to cross site scripting. The attack can be launched remotely. The exploit has been publicly disclosed and may be utilized.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS