CVE-2026-117028
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Skuul School Management System do wersji 2.6.5 jest podatny na nieprawidłową kontrolę dostępu w metodzie ResultChecker::checkResult. Uwierzytelniony uczeń może manipulować parametrem studentId, aby bez autoryzacji pobrać wyniki egzaminów innego ucznia, w tym oceny.
Ocena ryzyka
Naruszenie poufności danych edukacyjnych innych uczniów. Może prowadzić do wycieku ocen i informacji egzaminacyjnych oraz podważyć zaufanie do systemu.
Rekomendacja
Zaktualizuj Skuul School Management System do wersji nowszej niż 2.6.5, jeśli jest dostępna, lub wdróż poprawkę kontroli dostępu w metodzie checkResult, aby weryfikować uprawnienia do wyników danego ucznia.
Inne podatności w Skuul School Management System
Zobacz wszystkie- CVE-2025-13785Średnie
W produkcie yungifez Skuul School Management System do wersji 2.6.5 wykryto podatność na ujawnienie informacji w nieznanym przetwarzaniu pliku /user/profile komponentu Image Handler. Manipulacja prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-13784Niskie
Podatność XSS w Skuul School Management System do wersji 2.6.5, występująca w komponencie SVG File Handler w pliku /dashboard/schools/1/edit. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-12918Niskie
W systemie Skuul School Management System do wersji 2.6.5 wykryto lukę w zabezpieczeniach w pliku /dashboard/fees/fee-invoices/ w komponencie View Fee Invoice. Manipulacja argumentem invoice_id prowadzi do niewłaściwej kontroli identyfikatorów zasobów. Możliwe jest zdalne wykorzystanie podatności, ale atak jest uważany za trudny i o wysokiej złożoności. Exploit został publicznie ujawniony i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
Skuul School Management System through version 2.6.5 is vulnerable to incorrect access control in the ResultChecker::checkResult method. An authenticated student can manipulate the studentId parameter to retrieve another student's examination results, including examination marks, without authorization.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS