CVE-2026-116217
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
RosarioSIS przed wersją 12.9.2 zawiera lukę reflected cross-site scripting w modules/Food_Service/MenuReports.php, która pozwala nieuwierzytelnionym atakującym wstrzykiwać atrybuty przez nieescapowane parametry menu_id i modname. Atakujący mogą zwabić zalogowanego administratora do spreparowanego linku Modules.php, w którym menu_id w cudzysłowie wstrzykuje obsługę onmouseover, kradnąc tokeny sesji i CSRF.
Ocena ryzyka
Może to umożliwić przejęcie sesji administratora i wykonanie działań w jego imieniu. Ryzyko dotyczy instalacji RosarioSIS przed wersją 12.9.2.
Rekomendacja
Zaktualizuj RosarioSIS do wersji 12.9.2 lub nowszej. Dodatkowo wdróż nagłówki bezpieczeństwa i szkolenie użytkowników w zakresie podejrzanych linków.
Inne podatności w RosarioSIS
Zobacz wszystkie- CVE-2026-116010Średnie
RosarioSIS przed wersją 12.9.1 zawiera podatność polegającą na braku autoryzacji, która pozwala uwierzytelnionym nauczycielom zapisywać rekordy dla uczniów spoza ich okresu kursu poprzez podanie dowolnych identyfikatorów uczniów. Atakujący mogą modyfikować tablice POST st_arr, values lub attendance w plikach MakeReferral.php, EnterEligibility.php, InputFinalGrades.php i TakeAttendance.php, aby tworzyć skierowania, kody kwalifikowalności, frekwencję i oceny końcowe dla dowolnego ucznia w szkole.
- CVE-2026-93014Wysokie
RosarioSIS w wersjach przed 12.9 nie waliduje parametru żądania filename w modułach Users i Students, co pozwala uwierzytelnionym użytkownikom usuwać pliki z listy dozwolonych poprzez path traversal. Atakujący mogą użyć sekwencji katalogu nadrzędnego, aby wyjść poza katalogi przesyłania i usunąć zasoby CSS, XML, JSON oraz dokumenty innych użytkowników w całej instalacji.
- CVE-2026-19786Średnie
W systemie francoisjacquet RosarioSIS do wersji 12.8 stwierdzono podatność na Cross-Site Request Forgery (CSRF) w pliku Modules.php. Manipulacja prowadzi do CSRF. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 12.9 rozwiązuje problem.
- CVE-2026-19785Średnie
Znaleziono podatność w systemie RosarioSIS do wersji 12.7.4, w module medycznym uczniów. Manipulacja argumentem 'table' w pliku Medical.inc.php prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.
- CVE-2026-19784Średnie
W systemie RosarioSIS do wersji 12.8 wykryto błąd w funkcji DBUpdate pliku Discipline/Referrals.php. Manipulacja powoduje obejście autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2021-45416Średnie
W RosarioSIS 8.2.1 wykryto podatność na odbity atak XSS. Atakujący może wstrzyknąć dowolny kod HTML poprzez parametr search_term w skrypcie modules/Scheduling/Courses.php.
Oryginalny opis (angielski, źródło NVD)
RosarioSIS before 12.9.2 contains a reflected cross-site scripting vulnerability in modules/Food_Service/MenuReports.php that allows unauthenticated attackers to inject attributes via unescaped menu_id and modname parameters. Attackers can lure a logged-in administrator to a crafted Modules.php link whose double-quoted menu_id injects an onmouseover handler, stealing session and CSRF tokens to act as the administrator.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS