CVE-2026-111993
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
W Soarkey StudentManagement do wersji e08f7f1d5015af407aa4cca0ada3dea189b4937e wykryto podatność w funkcji UserDao.login w pliku code/src/service/AdminDao.java. Manipulacja argumentem Password powoduje przechowywanie danych wrażliwych w postaci jawnej. Atak wymaga lokalnego dostępu, a exploit został publicznie ujawniony i może być wykorzystany. Projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Lokalny atakujący może uzyskać dostęp do haseł przechowywanych w postaci jawnej, co może prowadzić do nieautoryzowanego dostępu do kont i systemu.
Rekomendacja
Należy jak najszybciej zastosować środki zaradcze, takie jak szyfrowanie haseł w bazie danych, oraz monitorować dostęp do systemu. Zaleca się również rozważenie alternatywnego, aktywnie utrzymywanego rozwiązania.
Inne podatności w Soarkey StudentManagement
Zobacz wszystkie- CVE-2026-90787Wysokie
W Soarkey StudentManagement do wersji e08f7f1d5015af407aa4cca0ada3dea189b4937e wykryto podatność. Dotyczy funkcji RegisterServlet.doPost w pliku code/WebContent/register.html w komponencie Registration Workflow. Manipulacja argumentem level prowadzi do niewłaściwego zarządzania uprawnieniami. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być wykorzystywany. Produkt nie używa wersjonowania, dlatego informacje o podatnych i niepodatnych wersjach są niedostępne. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-82621Wysokie
Zidentyfikowano słabość w Soarkey StudentManagement i 学生信息管理系统 do wersji e08f7f1d5015af407aa4cca0ada3dea189b4937e. Dotyczy ona funkcji AdminDao.doGet w pliku code/src/service/AdminDao.java komponentu Administrative Servlet. Wykonanie manipulacji argumentem action może prowadzić do obejścia autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został udostępniony publicznie i może być użyty do ataków. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.
- CVE-2026-82620Średnie
Wykryto podatność w Soarkey StudentManagement i 学生信息管理系统 do wersji e08f7f1d5015af407aa4cca0ada3dea189b4937e. Funkcja CourseDao.course_ranking w pliku CourseDao.java jest podatna na wstrzyknięcie SQL przez argument cno. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in Soarkey StudentManagement up to e08f7f1d5015af407aa4cca0ada3dea189b4937e. Impacted is the function UserDao.login of the file code/src/service/AdminDao.java. This manipulation of the argument Password causes cleartext storage of sensitive information. The attack is restricted to local execution. The exploit has been published and may be used. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS