CVE-2026-2015
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Wykryto podatność w Portabilis i-Educar do wersji 2.10. Dotyczy ona nieznanej funkcji w pliku FinalStatusImportService.php w komponencie Final Status Import. Manipulacja argumentem school_id prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Aktualizacja do wersji 2.11.0 rozwiązuje problem.
Ocena ryzyka
Atakujący może uzyskać dostęp do danych lub funkcji, do których nie powinien mieć uprawnień, co może prowadzić do naruszenia poufności danych.
Rekomendacja
Należy zaktualizować system do wersji 2.11.0 lub nowszej, która zawiera poprawkę.
Inne podatności w Portabilis i-Educar
Zobacz wszystkie- CVE-2025-10012Średnie
W Portabilis i-Educar do wersji 2.10 wykryto podatność polegającą na manipulacji argumentem ref_cod_aluno w pliku educar_historico_escolar_lst.php, co prowadzi do wstrzyknięcia SQL. Atak można wykonać zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 2.12 rozwiązuje problem.
- CVE-2025-8538Niskie
W systemie Portabilis i-Educar 2.10 odkryto podatność XSS w nieznanej funkcji pliku /usuarios/tipos/novo, manipulacja argumentem name/description umożliwia atak zdalny. Exploit został opublikowany i może być wykorzystany. Aktualizacja do wersji 2.12 rozwiązuje problem.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in Portabilis i-Educar up to 2.10. Affected is an unknown function of the file FinalStatusImportService.php of the component Final Status Import. Executing a manipulation of the argument school_id can lead to improper authorization. The attack can be executed remotely. The exploit has been made available to the public and could be used for attacks. Upgrading to version 2.11.0 is able to address this issue. Upgrading the affected component is advised. The vendor explains, that "[t]he reported attack vector was tested against the corrected code, and the previously described behavior could no longer be reproduced".