CVE-2026-47325
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
System zarządzania szkołą ProjectsAndPrograms school-management-system używa przewidywalnych haseł, generując hasła uczniów i nauczycieli wyłącznie na podstawie daty urodzenia (np. 12072000 dla 12 lipca 2000). Aplikacja nie wymaga ani nie zachęca do zmiany hasła przy pierwszym logowaniu. Umożliwia to atakującym łatwe odgadnięcie lub wyliczenie poprawnych danych logowania, prowadząc do nieautoryzowanego dostępu do kont.
Ocena ryzyka
Atakujący może uzyskać dostęp do kont uczniów i nauczycieli, co może prowadzić do kradzieży danych osobowych, manipulacji ocenami lub innych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się natychmiastową zmianę mechanizmu generowania haseł na losowy oraz wymuszenie zmiany hasła przy pierwszym logowaniu. Należy również zaktualizować system do najnowszej dostępnej wersji.
Inne podatności w school-management-system
Zobacz wszystkie- CVE-2026-47324Średnie
System zarządzania szkołą ProjectsAndPrograms jest podatny na trwałe ataki XSS w wielu atrybutach obiektów uczniów i nauczycieli. Uwierzytelniony atakujący (np. nauczyciel lub administrator) może wstrzyknąć złośliwy JavaScript, który zostanie wykonany w przeglądarkach innych użytkowników. W połączeniu z CVE-2025-11661, umożliwiającym nieuwierzytelniony dostęp do endpointów backendu, podatność ta może być wykorzystana zdalnie bez uprawnień.
- CVE-2026-37750Średnie
W systemie School Management System autorstwa mahmoudai1 wykryto odbitą podatność Cross-Site Scripting (XSS). Niezautoryzowany atakujący zdalnie może wykonać dowolny kod JavaScript w przeglądarce ofiary poprzez niesanitowany parametr type w pliku register.php.
Oryginalny opis (angielski, źródło NVD)
ProjectsAndPrograms school-management-system uses predictable credentials by generating student's and teacher's passwords solely from the user’s date of birth (e.g., 12072000 for 12 July 2000). The application does not require or prompt users to change the password upon first login. This behavior allows attackers to easily guess or derive valid credentials, leading to unauthorized account access. The maintainers were notified early about this vulnerability but did not provide details regarding affected versions. The version corresponding to commit 6b6fae5 was tested and confirmed vulnerable; other versions were not tested and may also be affected.