CVE-2026-37750
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
W systemie School Management System autorstwa mahmoudai1 wykryto odbitą podatność Cross-Site Scripting (XSS). Niezautoryzowany atakujący zdalnie może wykonać dowolny kod JavaScript w przeglądarce ofiary poprzez niesanitowany parametr type w pliku register.php.
Ocena ryzyka
Atakujący może przejąć sesję użytkownika, wykraść dane uwierzytelniające lub przeprowadzić inne złośliwe działania w kontekście ofiary, co zagraża poufności i integralności danych w systemie.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować poprawkę zabezpieczającą, która odpowiednio sanityzuje dane wejściowe w parametrze type w register.php.
Inne podatności w School Management System
Zobacz wszystkie- CVE-2026-86268Wysokie
Podatność SQL injection w itsourcecode School Management System 1.0, dotycząca nieznanej funkcji w pliku User_Login.php. Manipulacja argumentem email prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie, exploit jest publiczny.
- CVE-2026-47325Średnie
System zarządzania szkołą ProjectsAndPrograms school-management-system używa przewidywalnych haseł, generując hasła uczniów i nauczycieli wyłącznie na podstawie daty urodzenia (np. 12072000 dla 12 lipca 2000). Aplikacja nie wymaga ani nie zachęca do zmiany hasła przy pierwszym logowaniu. Umożliwia to atakującym łatwe odgadnięcie lub wyliczenie poprawnych danych logowania, prowadząc do nieautoryzowanego dostępu do kont.
- CVE-2026-47324Średnie
System zarządzania szkołą ProjectsAndPrograms jest podatny na trwałe ataki XSS w wielu atrybutach obiektów uczniów i nauczycieli. Uwierzytelniony atakujący (np. nauczyciel lub administrator) może wstrzyknąć złośliwy JavaScript, który zostanie wykonany w przeglądarkach innych użytkowników. W połączeniu z CVE-2025-11661, umożliwiającym nieuwierzytelniony dostęp do endpointów backendu, podatność ta może być wykorzystana zdalnie bez uprawnień.
- CVE-2025-13795Niskie
Podatność XSS w School Management System (wersja rolling release) występuje w pliku /student-view.php w komponencie Edit Student Info Page. Manipulacja argumentem First Name powoduje XSS. Atak zdalny jest możliwy, exploit publiczny.
Oryginalny opis (angielski, źródło NVD)
A reflected Cross-Site Scripting (XSS) vulnerability in School Management System by mahmoudai1 allows unauthenticated remote attackers to execute arbitrary JavaScript in victim's browsers via the unsanitized type parameter in register.php.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS