CVE-2026-10271
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Podatność w Student-Management-System (a4m4) do wersji f0c5f6842c5e8c431ff02b5260a565ca844df3a0. Nieznana funkcja w pliku admin/ umożliwia wykonanie kodu po przekierowaniu (open redirect). Atak zdalny możliwy.
Ocena ryzyka
Atakujący może wykorzystać przekierowanie do wykonania złośliwych działań, takich jak kradzież sesji lub phishing.
Rekomendacja
Zaleca się monitorowanie projektu pod kątem łatki, ponieważ producent nie odpowiedział na zgłoszenie.
Inne podatności w Student-Management-System
Zobacz wszystkie- CVE-2026-78056Średnie
Wykryto podatność w systemie Student-Management-System autorstwa sambitraj. Nieznana funkcjonalność komponentu Dashboard pozwala na manipulację argumentami roll_no/teacher_name, co prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-18958Wysokie
W systemie Student-Management-System (commit 18ea7904...) wykryto podatność SQL injection w pliku loginCheckTest.php w komponencie Login. Manipulacja argumentami username/password umożliwia zdalny atak. Exploit jest publiczny, a produkt nie używa wersjonowania, więc nie ma informacji o dotkniętych wersjach.
- CVE-2026-18927Średnie
Podatność w systemie zarządzania studentami imranrisal-dev Student-Management-System umożliwia nieograniczone przesyłanie plików przez funkcję storeProfileImage w pliku student_profile_pic.php. Atakujący może zdalnie manipulować argumentem choose_file, co prowadzi do przesłania dowolnego pliku. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-11532Średnie
W projekcie imvks786 student_management_system do commitu 9599b560ad3c3b83e75d328b76bedcd489ef1f46 zidentyfikowano słabość w nieznanej funkcji pliku /add.php komponentu Student Record Handler. Wykonanie manipulacji może prowadzić do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie. Exploit został udostępniony publicznie i może być wykorzystany do ataków. Projekt używa systemu wydań ciągłych, więc informacje o wersjach nie są ujawniane. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-11476Średnie
W systemie Kushan2k student-management-system do wersji f16a4ceaddd6729c4b306ed4641cda3176c1ef2a wykryto podatność na nieprawidłową autoryzację w funkcji edit-admin pliku controllers/AdminController.php w komponencie Profile Update Endpoint poprzez manipulację argumentem isadmin. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Produkt stosuje model ciągłego wydawania, więc nie podano wersji.
- CVE-2026-11474Wysokie
Kushan2k student-management-system do commitu f16a4ce ma podatność nieograniczonego przesyłania plików w pliku service/RegisterService.php poprzez argument stimg. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Projekt nie odpowiedział na zgłoszenie.
- CVE-2026-10272Średnie
Student-Management-System (do wersji f0c5f6842c5e8c431ff02b5260a565ca844df3a0) ma podatność w pliku admin/deleteform.php, gdzie argument sid prowadzi do nieprawidłowej autoryzacji.
- CVE-2026-10112Niskie
W sambitraj STUDENT-MANAGEMENT-SYSTEM 1.0 wykryto podatność XSS na stronie Dashboard. Manipulacja argumentem Name umożliwia zdalne wykonanie skryptu. Exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.
- CVE-2026-10111Wysokie
W systemie sambitraj STUDENT-MANAGEMENT-SYSTEM 1.0 wykryto podatność na wstrzykiwanie SQL w komponencie strony logowania. Manipulacja argumentem email prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Projekt został wcześniej poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-9562Wysokie
Podatność w projekcie STUDENT-MANAGEMENT-SYSTEM (do wersji 56ba287f2e9031523ccb4244cb6e3fe530e4e5d5) w komponencie Dashboard, prowadząca do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in a4m4 Student-Management-System up to f0c5f6842c5e8c431ff02b5260a565ca844df3a0. The affected element is an unknown function of the file admin/ of the component Admin Endpoint. This manipulation of the argument uid causes execution after redirect. It is possible to initiate the attack remotely. The exploit has been published and may be used. This product is using a rolling release to provide continious delivery. Therefore, no version details for affected nor updated releases are available. Multiple endpoints are affected. The project was informed of the problem early through an issue report but has not responded yet.