CVE-2026-10272
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Student-Management-System (do wersji f0c5f6842c5e8c431ff02b5260a565ca844df3a0) ma podatność w pliku admin/deleteform.php, gdzie argument sid prowadzi do nieprawidłowej autoryzacji.
Ocena ryzyka
Nieautoryzowany użytkownik może zdalnie manipulować danymi, co może prowadzić do naruszenia integralności systemu.
Rekomendacja
Projekt nie odpowiedział na zgłoszenie; rozważ zastosowanie tymczasowych zabezpieczeń, takich jak walidacja uprawnień przed wykonaniem operacji usuwania.
Inne podatności w Student-Management-System
Zobacz wszystkie- CVE-2026-78056Średnie
Wykryto podatność w systemie Student-Management-System autorstwa sambitraj. Nieznana funkcjonalność komponentu Dashboard pozwala na manipulację argumentami roll_no/teacher_name, co prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-18958Wysokie
W systemie Student-Management-System (commit 18ea7904...) wykryto podatność SQL injection w pliku loginCheckTest.php w komponencie Login. Manipulacja argumentami username/password umożliwia zdalny atak. Exploit jest publiczny, a produkt nie używa wersjonowania, więc nie ma informacji o dotkniętych wersjach.
- CVE-2026-18927Średnie
Podatność w systemie zarządzania studentami imranrisal-dev Student-Management-System umożliwia nieograniczone przesyłanie plików przez funkcję storeProfileImage w pliku student_profile_pic.php. Atakujący może zdalnie manipulować argumentem choose_file, co prowadzi do przesłania dowolnego pliku. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-11532Średnie
W projekcie imvks786 student_management_system do commitu 9599b560ad3c3b83e75d328b76bedcd489ef1f46 zidentyfikowano słabość w nieznanej funkcji pliku /add.php komponentu Student Record Handler. Wykonanie manipulacji może prowadzić do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie. Exploit został udostępniony publicznie i może być wykorzystany do ataków. Projekt używa systemu wydań ciągłych, więc informacje o wersjach nie są ujawniane. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-11476Średnie
W systemie Kushan2k student-management-system do wersji f16a4ceaddd6729c4b306ed4641cda3176c1ef2a wykryto podatność na nieprawidłową autoryzację w funkcji edit-admin pliku controllers/AdminController.php w komponencie Profile Update Endpoint poprzez manipulację argumentem isadmin. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Produkt stosuje model ciągłego wydawania, więc nie podano wersji.
- CVE-2026-11474Wysokie
Kushan2k student-management-system do commitu f16a4ce ma podatność nieograniczonego przesyłania plików w pliku service/RegisterService.php poprzez argument stimg. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Projekt nie odpowiedział na zgłoszenie.
- CVE-2026-10271Średnie
Podatność w Student-Management-System (a4m4) do wersji f0c5f6842c5e8c431ff02b5260a565ca844df3a0. Nieznana funkcja w pliku admin/ umożliwia wykonanie kodu po przekierowaniu (open redirect). Atak zdalny możliwy.
- CVE-2026-10112Niskie
W sambitraj STUDENT-MANAGEMENT-SYSTEM 1.0 wykryto podatność XSS na stronie Dashboard. Manipulacja argumentem Name umożliwia zdalne wykonanie skryptu. Exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.
- CVE-2026-10111Wysokie
W systemie sambitraj STUDENT-MANAGEMENT-SYSTEM 1.0 wykryto podatność na wstrzykiwanie SQL w komponencie strony logowania. Manipulacja argumentem email prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Projekt został wcześniej poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-9562Wysokie
Podatność w projekcie STUDENT-MANAGEMENT-SYSTEM (do wersji 56ba287f2e9031523ccb4244cb6e3fe530e4e5d5) w komponencie Dashboard, prowadząca do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in a4m4 Student-Management-System up to f0c5f6842c5e8c431ff02b5260a565ca844df3a0. The impacted element is an unknown function of the file admin/deleteform.php. Such manipulation of the argument sid leads to improper authorization. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used. This product takes the approach of rolling releases to provide continious delivery. Therefore, version details for affected and updated releases are not available. The project was informed of the problem early through an issue report but has not responded yet.