CVE-2026-103113
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W systemie OS4ED openSIS-Classic do wersji 9.3, funkcja save action w pliku modules/students/Student.php (komponent General Information Tab) jest podatna na SQL injection poprzez manipulację argumentem students. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Atakujący może zdalnie wykonać nieautoryzowane zapytania SQL, co może prowadzić do wycieku danych, modyfikacji bazy danych lub przejęcia kontroli nad systemem.
Rekomendacja
Natychmiast zaktualizuj openSIS-Classic do najnowszej wersji, jeśli dostępna, lub zastosuj tymczasowe zabezpieczenia, takie jak walidacja wejścia i użycie sparametryzowanych zapytań. Monitoruj logi pod kątem podejrzanych działań.
Inne podatności w openSIS-Classic
Zobacz wszystkie- CVE-2026-91107Krytyczne
openSIS Classic 9.3 umożliwia uwierzytelnionemu użytkownikowi z wbudowaną rolą nauczyciela wybranie dowolnego rekordu pracownika przez staff_id i spowodowanie, że ścieżka aktualizacji informacji o szkole zresetuje hasło wybranego konta.
- CVE-2026-11944Średnie
Podatność typu path traversal w funkcji pobierania załączników wiadomości w openSIS Classic 9.3 pozwala uwierzytelnionemu atakującemu na odczyt dowolnych plików na serwerze poprzez spreparowane sekwencje ścieżek.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in OS4ED openSIS-Classic up to 9.3. The affected element is the function save action of the file modules/students/Student.php of the component General Information Tab. Executing a manipulation of the argument students can lead to sql injection. The attack may be performed from remote. The exploit has been publicly disclosed and may be utilized. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS