CVE-2026-116010
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
RosarioSIS przed wersją 12.9.1 zawiera podatność polegającą na braku autoryzacji, która pozwala uwierzytelnionym nauczycielom zapisywać rekordy dla uczniów spoza ich okresu kursu poprzez podanie dowolnych identyfikatorów uczniów. Atakujący mogą modyfikować tablice POST st_arr, values lub attendance w plikach MakeReferral.php, EnterEligibility.php, InputFinalGrades.php i TakeAttendance.php, aby tworzyć skierowania, kody kwalifikowalności, frekwencję i oceny końcowe dla dowolnego ucznia w szkole.
Ocena ryzyka
Nauczyciel lub inny uwierzytelniony użytkownik może nieuprawnienie modyfikować dane uczniów spoza swoich zajęć, co prowadzi do naruszenia integralności danych szkolnych i może mieć skutki prawne oraz reputacyjne.
Rekomendacja
Zaktualizuj RosarioSIS do wersji 12.9.1 lub nowszej. Dodatkowo rozważ wdrożenie kontroli autoryzacji po stronie serwera weryfikujących przynależność ucznia do kursu nauczyciela.
Inne podatności w RosarioSIS
Zobacz wszystkie- CVE-2026-116217Średnie
RosarioSIS przed wersją 12.9.2 zawiera lukę reflected cross-site scripting w modules/Food_Service/MenuReports.php, która pozwala nieuwierzytelnionym atakującym wstrzykiwać atrybuty przez nieescapowane parametry menu_id i modname. Atakujący mogą zwabić zalogowanego administratora do spreparowanego linku Modules.php, w którym menu_id w cudzysłowie wstrzykuje obsługę onmouseover, kradnąc tokeny sesji i CSRF.
- CVE-2026-93014Wysokie
RosarioSIS w wersjach przed 12.9 nie waliduje parametru żądania filename w modułach Users i Students, co pozwala uwierzytelnionym użytkownikom usuwać pliki z listy dozwolonych poprzez path traversal. Atakujący mogą użyć sekwencji katalogu nadrzędnego, aby wyjść poza katalogi przesyłania i usunąć zasoby CSS, XML, JSON oraz dokumenty innych użytkowników w całej instalacji.
- CVE-2026-19786Średnie
W systemie francoisjacquet RosarioSIS do wersji 12.8 stwierdzono podatność na Cross-Site Request Forgery (CSRF) w pliku Modules.php. Manipulacja prowadzi do CSRF. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 12.9 rozwiązuje problem.
- CVE-2026-19785Średnie
Znaleziono podatność w systemie RosarioSIS do wersji 12.7.4, w module medycznym uczniów. Manipulacja argumentem 'table' w pliku Medical.inc.php prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.
- CVE-2026-19784Średnie
W systemie RosarioSIS do wersji 12.8 wykryto błąd w funkcji DBUpdate pliku Discipline/Referrals.php. Manipulacja powoduje obejście autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2021-45416Średnie
W RosarioSIS 8.2.1 wykryto podatność na odbity atak XSS. Atakujący może wstrzyknąć dowolny kod HTML poprzez parametr search_term w skrypcie modules/Scheduling/Courses.php.
Oryginalny opis (angielski, źródło NVD)
RosarioSIS before 12.9.1 contains a missing authorization vulnerability that allows authenticated teachers to write records for students outside their course period by supplying arbitrary student IDs. Attackers can modify the st_arr, values, or attendance POST arrays in MakeReferral.php, EnterEligibility.php, InputFinalGrades.php, and TakeAttendance.php to create referrals, eligibility codes, attendance and final grades for any student in the school.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS