CVE-2026-47325
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
System zarządzania szkołą ProjectsAndPrograms school-management-system używa przewidywalnych haseł, generując hasła uczniów i nauczycieli wyłącznie na podstawie daty urodzenia (np. 12072000 dla 12 lipca 2000). Aplikacja nie wymaga ani nie zachęca do zmiany hasła przy pierwszym logowaniu. Umożliwia to atakującym łatwe odgadnięcie lub wyliczenie poprawnych danych logowania, prowadząc do nieautoryzowanego dostępu do kont.
Ocena ryzyka
Atakujący może uzyskać dostęp do kont uczniów i nauczycieli, co może prowadzić do kradzieży danych osobowych, manipulacji ocenami lub innych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się natychmiastową zmianę mechanizmu generowania haseł na losowy oraz wymuszenie zmiany hasła przy pierwszym logowaniu. Należy również zaktualizować system do najnowszej dostępnej wersji.
Inne podatności w school-management-system
Zobacz wszystkie- CVE-2026-86268Wysokie
Podatność SQL injection w itsourcecode School Management System 1.0, dotycząca nieznanej funkcji w pliku User_Login.php. Manipulacja argumentem email prowadzi do wstrzyknięcia SQL. Atak może być wykonany zdalnie, exploit jest publiczny.
- CVE-2026-47324Średnie
System zarządzania szkołą ProjectsAndPrograms jest podatny na trwałe ataki XSS w wielu atrybutach obiektów uczniów i nauczycieli. Uwierzytelniony atakujący (np. nauczyciel lub administrator) może wstrzyknąć złośliwy JavaScript, który zostanie wykonany w przeglądarkach innych użytkowników. W połączeniu z CVE-2025-11661, umożliwiającym nieuwierzytelniony dostęp do endpointów backendu, podatność ta może być wykorzystana zdalnie bez uprawnień.
- CVE-2026-37750Średnie
W systemie School Management System autorstwa mahmoudai1 wykryto odbitą podatność Cross-Site Scripting (XSS). Niezautoryzowany atakujący zdalnie może wykonać dowolny kod JavaScript w przeglądarce ofiary poprzez niesanitowany parametr type w pliku register.php.
- CVE-2025-13795Niskie
Podatność XSS w School Management System (wersja rolling release) występuje w pliku /student-view.php w komponencie Edit Student Info Page. Manipulacja argumentem First Name powoduje XSS. Atak zdalny jest możliwy, exploit publiczny.
- CVE-2025-11056Średnie
System School Management System 1.0 firmy ProjectsAndPrograms ma podatność SQL injection w pliku owner_panel/fetch-data/select-students.php. Manipulacja argumentem select umożliwia zdalny atak. Exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
ProjectsAndPrograms school-management-system uses predictable credentials by generating student's and teacher's passwords solely from the user’s date of birth (e.g., 12072000 for 12 July 2000). The application does not require or prompt users to change the password upon first login. This behavior allows attackers to easily guess or derive valid credentials, leading to unauthorized account access. The maintainers were notified early about this vulnerability but did not provide details regarding affected versions. The version corresponding to commit 6b6fae5 was tested and confirmed vulnerable; other versions were not tested and may also be affected.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS